ERRUER IAN 


通过 任 一 项 华为 职业 认证 ， 您 即 可 在 华为 在 线 学 习 网 站 (h1Wp;/Aleormming.huawei.com/cn) «3g & SW TIFN: 
。 1、 华 为 E-learning 课程 学 习 
u AR: 所 有 华为 职业 认证 E-Learning 课 程 ， 扩 展 您 在 其 他 技术 领域 的 技术 知识 
o 方式 : 请 提交 您 的 “华为 账号 ”和 注册 账号 的 “emalil 地 址 ”到 Learging€huawer.com ARR 
。 2、 华 为 培训 教材 下 载 
s AR: 华为 职业 认证 培训 教材 + 华为 产品 技术 培训 教材 ， 覆 闵 企 业 网 络 、 存 储 、 安 全 等 诸多 领域 
0 AR: EORÁÍÉDUEZECOIMWA,. XA “EREM ， 人 在 具体 课程 页 面 即 可 下 载 教 材 。 
。 3、 华为 在 线 公 开课 (LVC) 优 先 参 与 
s 内容: 企业 网 络 、UC&C、 安 人 全、 存储 等 诸多 领域 的 职业 认证 课程 ， 华 为 讲师 授课 ， 开 班 人 数 有 限 
s 方式 : 开 班 计划 及 参与 方式 请 详 见 LVC 排 期 : 
http://support.huawei.com/learning/NavigationAction!createNavisznavi[id]-. 16 
。 4、 学习 工具 eNSP 
o eNSP (Enterprise Network Simulation Platform], 是 由 华为 提供 的 免费 的 、 可 扩展 的 、 图 形 化 网 络 仿 
真 工具 。 主 要 对 企业 网 路 由 器 和 交换 机 进行 硬件 模拟 ， 完 美 呈 现 真实 设备 实景 ; 同时 也 支持 大 型 网 络 
模拟 ， 让 大 家 在 没有 真实 设备 的 情况 下 也 能 够 进行 实验 测试 。 
。 ”另外 , 华为 建立 了 知识 分 享 平 台 华为 认证 论坛 。 您 可 以 在 线 与 华为 技术 专家 交流 技术 ， 与 其 他 考生 分 享 考试 
经 验 ， 一 起 学 习 华 为 产品 技术 。_( http://support.huawei.com/ecommunity/bbs/list 2247.html ) 
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第 2.0 版 本 


华为 认证 体系 介绍 


依托 华为 公司 雄厚 的 技术 实力 和 专业 的 培训 体系 ， 华 为 认证 考虑 到 不 同 客户 
对 ICT 技 术 不 同 层次 的 需求 ， 致 力 于 为 客户 提供 实战 性 、 专 业 化 的 技术 认证 。 


根据 ICT 技 术 的 特点 和 客户 不 同 层次 的 需求 ， 华 为 认证 为 客户 提供 面向 十 二 
个 方向 的 三 级 认证 体系 。 


HCNA 主 要 面向 IP 网 络 维护 工程 师 ， 以 及 其 他 希望 学 习 IP 网 络 知识 的 人 士 。 
HCNA 认 证 在 内 容 上 涵盖 TCP/IP 基 础 、 路 由 、 交 换 等 IP 网 络 通用 基础 知识 以 及 华 
为 数据 通信 产品 、 通 用 路 由 平台 VRP 特 点 和 基本 维护 。 


HCNP-R&S 主 要 面向 企业 级 网 络 维护 工程 师 、 网 络 设计 工程 师 以 及 希望 系 
统 深入 地 掌握 路 由 、 交 换 、 网 络 调整 及 优化 技术 的 人 士 。HCNP-R&Ss 包 括 IESN 
( Implementing Enterprise Switching Networks， 部 署 企业 级 交换 网 络 ) 、 
IERN( Implementing Enterprise Routing Networks 部 署 企业 级 路 由 网 络 )、 
IENP ( Improving Enterprise Network Performance 提升 企业 级 网 络 性 能 
三 个 部 分 。 内 容 上 涵盖 IPv4 路 由 技术 原理 深入 以 及 在 VRP 中 的 实现 ; 交换 技术 原 
理 深入 以 及 在 VRP 中 的 实现 ; 网 络 安全 技术 高 可 靠 性 技术 和 Qos 技 术 等 高 级 IP 
网 络 技术 以 及 在 华为 产品 中 的 实现 。 


HCIE-R&S 旨 在 培养 能 够 熟练 掌握 各 种 IP 网 络 技术 ; 精通 华为 产品 的 维护 、 
诊断 和 故障 排除 ; 具备 大 型 IP 网 络 规划 、 设 计 和 优化 的 IP 网 络 大 师 。 


华为 认证 协助 您 打开 行业 之 窗 ,开启 改变 之 门 ,屹立 在 ICT 世 界 的 潮 头 浪 尖 ! 
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实验 环境 说 明 
组 网 介绍 


本 实验 环境 面向 准备 HCNA-HNTD 考 试 的 网 络 工程 师 ， 内 容 由 HCNA-HNTD 的 VRP 
基础 操作 、 路 由 协议 原理 、 以 太 网 交换 技术 、 广 域 网 技术 、 网 络 安全 技术 等 部 分 的 实验 组 
成 。 


实验 设备 包括 路 由 器 3 台 ， 交 换 机 4 台 。 每 套 实验 环境 适用 于 2 名 学 员 同 时 上 机 操作 。 
设备 介绍 


为 了 满足 HCNA-HNTD 实 验 需 要 ， 建 议 每 套 实验 环境 采用 以 下 配置 : 


设备 名 称 、 型 号 与 版 本 的 对 应 关系 如 下 : 


























设备 名 称 设备 型 号 软件 版 本 
R1 AR 2220 Version 5.120 (V200R003CO00SPC200) 
R2 AR 2220 Version 5.120 (V200R003CO00SPC200) 
R3 AR 2220 Version 5.120 (V200R003C00SPC200) 
S1 S5700-28C-EI-24S Version 5.70 (V100R006COOSPC800) 
S2 S5700-28C-EI-24S Version 5.70 (V100R006COOSPC800) 
S3 S3700-28TP-ET-AC Version 5.70 (V100R006COOSPC800) 
S4 S3700-28TP-ET-AC Version 5.70 (V100R006COOSPC800) 
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第 一 章 以 太 网 与 VLAN 
实验 1-1 以 太 网 接口 和 链 路 配置 
学 习 目标 


。 ”掌握 接口 速率 和 双 工 模式 的 配置 方法 

。 ”掌握 使 用 手动 模式 配置 链 路 聚合 的 方法 

。 ”掌握 使 用 静态 LACP 模 式 配置 链 路 聚合 的 方法 

。 ”掌握 在 静态 LACP 模 式 下 配置 接口 优先 级 的 方法 


拓扑 图 





图 1.1 以 太 网 链 路 聚合 拓扑 图 


场景 
您 是 公司 的 网 络 管理 员 。 现 在 公司 购买 了 两 人 台 华 为 的 S5700 系 列 的 交换 机 ， 
为 了 提高 交换 机 之 间 链 路 带宽 以 及 可 靠 性 ,您 需要 在 交换 机 上 配置 链 路 聚合 功能 。 
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操作 步骤 


步骤 一 .以 太 网 交换 机 基础 配置 


华为 交换 机 接口 默认 开启 了 自 协 商 功 能 。 在 本 任务 中 ， 需 要 手动 配置 $1 与 
S2 上 GO/0/9 和 G0/0/10 接 口 的 速率 及 双 工 模式 。 


首先 修改 交换 机 的 设备 名 称 ， 然 后 查看 S1 上 G0/0/9 和 G0/0/10 接 口 的 详细 


Fco 


«Quidway»system-view 
[Quidway]sysname S1 


[S1]display interface GigabitEthernet 0/0/9 








GigabitEthernet0/0/9 current state : UP 


Line protocol current state : UP 








Description:HUAWEI, Quidway Series, GigabitEthernet0/0/9 Intérface 
Switch Port,PVID : 1,The Maximum Frame Length is 1600 
IP Sending Frames' Format is PKTFMT ETHNT 2, Hardware address is 0018-82el-aea6 





Port Mode: COMMON COPPER 





Speed : 1000, Loopback: NONE 








Duplex: FULL, Negotiation: ENABLE 








Mdi s AUTO 


Last 300 seconds input rate 752 bits/sec, 0 packets/sec 





Last 300 seconds output rate 720 bits/sec, 0 packets/sec 

Input peak rate 1057259144 bits/sec,Record time: 2008-10-01 00:08:58 
Output peak rate 1057267232 bits/sec,Record time: 2008-10-01 00:08:58 
Input: 11655141 packets, 960068100 bytes 











Unicast : 70,Multicast : 5011357 
Broadcast ` 6643714, Jumbo 0 
CRC 9 0,Giants 0 
Jabbers í 0,Throttles 0 
Runts : 0, DropEvents : 0 
Alignments ; 0, Symbols 0 
Ignoreds : 0, Frames 0 
Discard : 69,Total Error 0 
Output: 11652169 packets, 959869843 bytes 

Unicast ; 345,Multicast : 5009016 
Broadcast i 6642808, Jumbo : 0 
Collisions í 0, Deferreds ; 0 
Late Collisions : 0,ExcessiveCollisions: 0 
Buffers Purged : 0 

Discard i 5,Total Error ; 0 





Input bandwidth utilization threshold : 100.00% 
Output bandwidth utilization threshold: 100.00% 
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Input bandwidth utilization : 0.01% 
Output bandwidth utilization : 0.00% 


[S1]display interface GigabitEthernet 0/0/10 








GigabitEthernet0/0/10 current state : UP 


Line protocol current state : UP 








Description:HUAWEI, Quidway Series, GigabitEthernet0/0/10 Interface 
Switch Port,PVID : 1,The Maximum Frame Length is 1600 





IP Sending Frames' Format is PKTFMT ETHNT 2, Hardware address is 0018-82el-aea6 
Port Mode: COMMON COPPER 





Speed : 1000, Loopback: NON 


EH 








Duplex: FULL, Negotiation: ENABLE 








Mdi : AUTO 
Last 300 seconds input rate 1312 bits/sec, 0 packets/sec 





Last 300 seconds output rate 72 bits/sec, 0 packets/sec 1 
Input peak rate 1057256792 bits/sec,Record time: 2008-10-01 00:08:58 
Output peak rate 1057267296 bits/sec,Record time: 2008-10-01 00:08:58 


Input: 11651829 packets, 959852817 bytes 





Unicast ; 115,Multicast 3 5009062 
Broadcast ; 6642648, Jumbo 0 
CRC i 3,Giants 0 
Jabbers i 0, Throttles 0 
Runts ; 0, DEopEvents 0 
Alignments i 0, Symbols 4 
Ignoreds í 0 Frames 0 
Discard i 218,Total Error 7 





Output: 11655280 packets,:. 960072712 bytes 








Unicast : 245,Multicast : 5011284 
Broadcast ! 6643751, Jumbo : 0 
Collisions : 0, Deferreds : 0 
Late Collisions : 0,ExcessiveCollisions: 0 
Buffep Purged : 0 

Discard í 107,Total Error : 0 


Input bandwidth utilization threshold : 100.00$ 
Output bandwidth utilization threshold: 100.00% 
Input bandwidth utilization : 0.01$ 
Output bandwidth utilization : 0.00% 


在 修改 接口 的 速率 和 双 工 模式 之 前 应 先天 闭 接口 的 自 协商 功能 ， 然 后 将 S1 
上 的 GO/0/9 和 GO/O/I10 接 口 的 速率 配置 为 100 Mbit/s， 工 作 模 式 配置 为 全 双 工 
模式 。 


[S1]interface GigabitEthernet 0/0/9 








[S1-GigabitEthernet0/0/9]undo negotiation auto 
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同样 的 方法 将 S2 上 的 G0/0/9 和 G0/0/10 接 口 的 速率 配置 为 100 Mbit/s , T 


Sl-GigabitEt 
Sl-GigabitEt 
Sl-GigabitEt 
Sl1]interface 
Sl-GigabitEt 
Sl-GigabitEt 
Sl1-GigabitEt 


hernet0/0/9]speed 100 
hernet0/0/9]duplex full 
hernet0/0/9]quit 





GigabitEthernet 0/0/10 
hernet0/0/10]undo negotiation auto 


hernet0/0/10]speed 100 





hernet0/0/10]duplex full 


作 模 式 配置 为 全 双 工 模式 。 


«Quidway»system-view 











S2-GigabitEt 
S2-GigabitEt 
S2-GigabitEt 
S2-GigabitEt 
S2]interface 
S2-GigabitEt 
S2-GigabitEt 
S2-GigabitEt 


Quidway]sysname S2 


S2]interface GigabitEthernet 0/0/9 





hernet0/0/9]undo negotiation auto 
hernet0/0/9]speed 100 
hernet0/0/9]duplex full 
hernet0/0/9]quit 





GigabitEthernet 0/0/10 
hernet0/0/10]undo negotiation auto 


hernet0/0/10]speed 100 





hernet0/0/10]duplex full 


{N 


验证 S1 上 的 GO/0/9 和 GO/O/VI10 接 口 的 速率 和 工作 模式 已 配置 成 功 。 


[S1]display interface GigabitEthernet 0/0/9 








GigabitEthernet0/0/9 current State : UP 


Line protocol current state Y UP 





Description:HUAWEI, 





Quidway Series, GigabitEthernet0/0/9 Interface 


Switch Port,PVID 1,The Maximum Frame Length is 1600 





IP Sending Frames' Format is PKTFMT ETHNT 2, Hardware address is 0018-82e1-aea6 











Port Mode: COMMON COPPER 

Speed 100,- Loopback: NONE 
Duplex: FULL, Negotiation: DISABLE 
Mäi : AUTO 


[S1]display interface GigabitEthernet 0/0/10 








GigabitEthernet0/0/10 current state : UP 


Line protocol current state : UP 





Description:HUAWEI, 





Quidway Series, GigabitEthernet0/0/10 Interface 


Switch Port,PVID 1,The Maximum Frame Length is 1600 





IP Sending Frames' Format is PKTFMT ETHNT 2, Hardware address is 0018-82el-aea6 











Port Mode: COMMON COPPER 
Speed 100, Loopback: NONE 
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GI 


Duplex: FULL, Negotiation: DISABL 
Mdi : AUTO 


步骤 二 . 配置 手动 模式 的 链 路 聚合 


在 SL 和 S2 上 创建 Eth-Trunk 1 , 然后 将 G0/0/9 和 G0/0/10 接 口 加 入 
Eth-Trunk 1( 注意 :将 接口 加 入 Eth-Trunk 前 需 确认 成 员 接口 下 没有 任何 配置 )。 


S1]interface Eth-Trunk 1 





Sl-Eth-Trunkl]quit 








Sl]interface GigabitEthernet 0/0/9 
S1-GigabitEthernet0/0/9]eth-trunk 1 
S1-GigabitEthernet0/0/9]quit 





S1-GigabitEthernet0/0/9]interface GigabitEthernet 0/0/10 





S1-GigabitEthernet0/0/10]eth-trunk 1 





S2]interface Eth-Trunk 1 
S2-Eth-Trunkl]quit 








S2]interface GigabitEthernet 0/0/9 
S2-GigabitEthernet0/0/9]eth-trunk 1 
S2-GigabitEthernet0/0/9]quit 





S2-GigabitEthernet0/0/9]interface GigabitEÉthernet 0/0/10 








S2-GigabitEthernet0/0/10]eth-truhk 1 


验证 Eth-Trunk 的 配置 结果 


[S1]display eth-trunk 1 
Eth-Trunkl's state information is: 


WorkingMode: NORMAL Hash arithmetic: According to SA-XOR-DA 





Least Active-linknumber: 1 Max Bandwidth-affected-linknumber: 8 


Operate st&àtu5: up Number Of Up Port In Trunk: 2 
PortName Status Weight 
GigabitEthernet0/0/9 Up 1 
GigabitEthernet0/0/10 Up 1 


[S2]display eth-trunk 1 


Eth-Trunk1's state information is: 





WorkingMode: NORMAL Hash arithmetic: According to SA-XOR-DA 





Least Active-linknumber: 1 Max Bandwidth-affected-linknumber: 8 


Operate status: up Number Of Up Port In Trunk: 2 


PortName Status Weight 
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GigabitEthernet0/0/9 Up i 





GigabitEthernet0/0/10 Up 1 


回 显 信息 中 灰色 阴影 标注 的 部 分 表明 Eth-Trunk 工 作 正 常 ， 成 员 接 口 都 已 正 
确 加 入 。 


步骤 三 . 配置 静态 LACP 模式 的 链 路 聚合 


删除 SL1 和 S2 上 的 G0/0/9 和 G0/0/10 接 口 下 的 配置 。 


Sl]interface GigabitEthernet 0/0/9 





S1-GigabitEthernet0/0/9]undo eth-trunk 
S1-GigabitEthernet0/0/9]quit 
S1l]interface GigabitEthernet 0/0/10 








Sl-GigabitEthernet0/0/10]undo eth-trunk 


S2]interface GigabitEthernet 0/0/9 





S2-GigabitEthernet0/0/9]undo eth-trunk 
S2-GigabitEthernet0/0/9]quit 





S2]interface GigabitEthernet 0/0/10 








S2-GigabitEthernet0/0/10]undo eth-trunk 


创建 Eth-Trunk 1 并 配置 该 Eth-Trun[k 为 静态 LACP 模 式 。 然 后 将 GO/0/9 和 
G0/0/10 接 口 加 入 Eth-Trunk 1, 


Sl]jinterface Eth-Trunk 1 





Sl-Eth-Trunkl]mode lacp-static 





Sl-Eth-Trunkl]quit 
Sl]interface GigdábitEthernet 0/0/9 





S1-GigabitEthernet0/0/9]eth-trunk 1 
S1-GigabitEthernet0/0/9]quit 





Sl]interface;GigabitEthernet 0/0/10 





S1-GigabitEthernet0/0/10]eth-trunk 1 


S2]interface Eth-Trunk 1 





S2-Eth-Trunkl]mode lacp-static 





S2-Eth-Trunkl]quit 
S2]interface GigabitEthernet 0/0/9 





S2-GigabitEthernet0/0/9]eth-trunk 1 





S2-GigabitEthernet0/0/9]interface GigabitEthernet 0/0/10 








S2-GigabitEthernet0/0/10]eth-trunk 1 


查看 交换 机 上 Eth-Trunk 的 信息 ， 碍 看 链 路 是 否 协商 成 功 。 


[S1]display eth-trunk 
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Eth-Trunkl1's state information is: 











Local: 

LAG ID: 1 WorkingMode: STATIC 

Preempt Delay: Disabled Hash arithmetic: According to SA-XOR-DA 
System Priority: 32768 System ID: 4clf-cc45-aace 

Least Active-linknumber: 1 Max Active-linknumber: 8 

Operate status: up Number Of Up Port In Trunk: 2 

ActorPortName Status  PortType PortPri PortNo PortKey PortState Weight 
GigabitEthernet0/0/9 | Selected 100M 32768 9 289 10111100 1 
GigabitEthernet0/0/10 Selected 100M 32768 10 289 10111100 1 
Partner: \ 
ActorPortName SysPri SystemID PortPri PortNo PortKey PortState 
GigabitEthernet0/0/9 32768 4clf-cc45-aacc 32768 9 289  (3X«0111100 
GigabitEthernet0/0/10 32768 4clf-cc45-aacc 32768 10 289 i: 10111100 


在 S1 上 配置 LACP 的 系统 优先 级 为 100， 使 其 成 为 LACP 主 动 端 。 


[S1]lacp priority 100 


配置 接口 的 优先 级 确定 活动 链 路 。 


[S1]interface GigabitEthernet 0/0/9 





[S1-GigabitEthernet0/0/9]lacp priority 100 
[S1-GigabitEthernet0/0/9]quit 





[S1]interface GigabitEthernet 0/0/10 





[S1-GigabitEthernet0/0/10]1acp priority 100 


验证 Eth-Trunk 的 配置 结果 。 


[S1]display. eth-trunk 1 


Eth-Trunki's state information is: 








Local: 

LAG«ID:' 1 WorkingMode: STATIC 

Preempt Delay: Disabled Hash arithmetic: According to SA-XOR-DA 
System Priority: 100 System ID: 4clf-cc45-aace 

Least Active-linknumber: 1 Max Active-linknumber: 8 

Operate status: up Number Of Up Port In Trunk: 2 

ActorPortName Status  PortType PortPri PortNo PortKey PortState Weight 
GigabitEthernet0/0/9 | Selected 100M 100 9 289 10111100 1 
GigabitEthernet0/0/10 Selected 100M 100 10 289 10111100 1 
Partner: 
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ActorPortName 
GigabitEthernet0/0/9 
GigabitEthernet0/0/10 





[S2]display eth-trunk 


Local: 





LAG ID: 1 


SysPri 
32768 
32768 


1 


Eth-Trunk1's state information 


Preempt Delay: Disabled 


System Priority: 32768 


Least Active-linknumber: 1 


Operate status: up 


SystemID PortPri PortNo PortKey PortState 
4clf-cc45-aacc 32768 9 289 10111100 
4clf-cc45-aacc 32768 10 289 10111100 
1S 


WorkingMode: STATIC 

Hash arithmetic: According to SA-XOR-DA 
System ID: 4clf-cc45-aacc 

Max Active-linknumber: 8 


Number Of Up Port In Trunk: 2 





ActorPortName Status  PortType PortPri PortNo PortKey PortState Weight 
GigabitEthernet0/0/9 | Selected 100M 32768 9 289 10111y00. 1 
GigabitEthernet0/0/10 Selected 100M 32768 10 289 103i1i$e0 1 
Partner: 

ActorPortName SysPri SystemID PortPri PortNo PortKey PortState 
GigabitEthernet0/0/9 100 4clf-cc45-aace 100 9 289 10111100 





GigabitEthernetO/0/10 100 


配置 文件 


4c1f-cc45-aace 100 10 289 10111100 


[S1]display current-configuration 


+ 


!Software Version V100R006CO00SPC800 


sysname S1 

# 

lacp priority 100 
# 


interface Eth-Trunkl 





mode lacp-static 


# 


interface GigabitEthernet0/0/9 





eth-trunk 1 

lacp priority 100 
undo negotiation auto 
Speed 100 

# 


interface GigabitEthernet0/0/10 





eth-trunk 1 
lacp priority 100 


undo negotiation auto 
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Speed 100 
# 


return 


[S2]display current-configuration 

# 

!Software Version V100R006COO0SPC800 
sysname S2 

# 


interface Eth-Trunk1 





mode lacp-static 
# 
interface GigabitEthernet0/0/9 





eth-trunk 1 

undo negotiation auto 

speed 100 

# 

interface GigabitEthernet0/0/10 





eth-trunk 1 

undo negotiation auto 
speed 100 

# 


return 
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实验 1-2 VLAN 配置 


学 习 目标 


。 ”掌握 VLAN 的 创建 方法 
。 ”掌握 Access 和 Trunk 类 型 接口 的 配置 方法 
。 掌握 Hybird 接 口 的 配置 


。 ”掌握 将 接口 与 VLAN 关 联 的 配置 方法 


拓扑 图 


















S1 S2 
G0/0/10 GO/0/10 
GO/Q/1 G0/0/2 VLAN2 


G0/0/9 Eth-channel * Geo E 
GO/0/13 
GO/O/1 Trunk GO/0/3 

E0/0/13 
10.0.4.0/24 
n2 .1 " R 
VLAN3 
10.0.4.0/24 VLAN4 
10.0.4.0/24 


S3 R1 R3 S4 
图 1.2 VLAN 配 置 实验 拓扑 图 
场景 
目前 ， 公 司 网 络 内 的 所 有 主机 都 处 在 同一 个 广播 域 ， 网 络 中 充斥 着 大 量 的 广 


播 流量 。 作 为 网 络 管理 员 ， 您 需要 将 网 络 划分 成 多 个 VLAN 来 控制 广播 流量 的 泛 
小。 本 实验 中 ， 您 需要 在 交换 机 Sl 和 S2 上 进行 VLAN 配 置 。 
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操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配 置 设备 ， 那 么 请 从 步骤 1 开始 配置 。 如 果 使 用 
的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


在 S1 和 S2 上 创建 Eth-Trunk 1 并 配置 该 Eth-Trunk 为 静态 LACP 模 式 。 然 后 将 
G0/0/9 和 G0/0/10 接 口 加 入 Eth-Trunk 1, 


<Quidway>system-view 
Quidway]sysname S1 


Sl]jinterface Eth-trunk 1 





Sl-Eth-Trunkl]mode lacp-static 





Sl-Eth-Trunkl]quit 





Sl]interface GigabitEthernet0/0/9 
S1-Gigabitethernet0/0/9]eth-trunk 1 





S1-Gigabitethernet0/0/9]interface GigabitEthernet0/0710 





S1-Gigabitethernet0/0/10]eth-trunk 1 


«Quidway»system-view 
Quidway]sysname S2 
2]interface eth-trunk 1 


[ 
[S 
[S2-Eth-Trunkl]mode lacp-static 
[S2-Eth-Trunkl]trunkport GigabitEthernet 0/0/9 
[ 








S2-Eth-Trunkl]trunkport-^GigabitEthernet 0/0/10 


步骤 二 .、 关闭 不 相关 接口 ， 并 配置 Trunk 


为 了 确保 测试 结果 的 准确 性 ， 需 要 关闭 S3 上 的 E0/0/1 和 E0/0/23 端 口 以 及 
S4 上 的 E0/0/14 端 口 。 


«Quidway»system-view 





Enter system view, return user view with Ctrl-4Zz. 





Quidway]sysname $3 


S3]interface Ethernet 0/0/1 








S3-Ethernet0/0/1]shutdown 
S3-Ethernet0/0/1]quit 





S3]interface Ethernet 0/0/23 











S3-Ethernet0/0/23]shutdown 


«Quidway»system-view 
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[Quidway]sysname S4 


[S4]interfac 











Enter system view, return user view with CtrlL+2 . 


Ethernet 0/0/14 


[S4-Ethernet0/0/14]shutdown 


交换 机 端口 的 类 型 默认 为 Hybrid 端口 。 将 Eth-Trunk 1 的 端口 类 型 配置 为 
Trunk， 并 人 允许 所 有 VLAN 的 报 文通 过 该 端口 。 


Sl]interface 





S2]interface 














Eth-Trunk 1 
Sl-Eth-Trunkl]port link-type trunk 
Sl-Eth-Trunkl]port trunk allow-pass vlan all 


Eth-Trunk 1 
S2-Eth-Trunkl]port link-type trunk 
S2-Eth-Trunkl]port trunk allow-pass vlan all 


步骤 三 . 创建 VLAN 


本 实验 中 将 S3、R1、R3 和 S4 设 备 作为 客户 端 主机 > 在 S1 和 S2 上 分 别 创建 
VLAN， 并 使 用 两 种 不 同方 式 将 端口 加 入 到 已 创建 VYLAN 中 。 将 所 有 连接 客户 端 
的 端口 类 型 配置 为 Access。 


在 Sl 上 ， 将 端口 G0/0/13 和 G0/0/3 分 别 加 入 到 VLAN 3 和 VLAN 4, 
在 S2 上 ， 将 端口 G0/0/2 和 G0/0/24 分 别 加 入 VLAN 4 和 VLAN 2, 


GigabitEthernet0/0/13 


Sl]interface 


Sl]interface 





S1]vilan*2 


Si-vlan3]por 


S2]vlan batc 
S2]interface 
S2-GigabitEt 
S2-GigabitEt 
S2-GigabitEt 
S2]interface 


S2-GigabitEt 








S2-GigabitEt 


S1-vlan3]vlan 4 


S1-vlan4]port GigabitEthernet0/0/1 








S1-GigabitEthernet0/0/13]port link-type access 
S1-GigabitEthernet0/0/13]quit 


GigabitEthernet0/0/1 


S1-vlan2]vlan 3 


t Gigabit! 





h 2 to 4 





hernet0/0/3 
hernet0/0/3 
hernet0/0/3 





hernet0/0/24 








hernet0/0/24 


S1-GigabitEthernet0/0/1]port link-type access 
S1-GigabitEthernet0/0/1]quit 


Ethernet0/0/13 


GigabitEthernet 0/0/3 


port link-type access 
port default vlan 4 
quit 


GigabitEthernet 0/0/24 


]port link-type access 


]port default vlan 2 
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确认 Sl1 和 S2 上 已 成 功 创建 VLAN ， 且 已 将 相应 端口 划分 到 对 应 的 VLAN 中 。 


<Sl>display vlan 


The total number of vlans is : 4 























U: Up; D: Down; TG: Tagged; UT: Untagged; 

MP: Vlan-mapping; ST: Vlan-stacking; 

4: ProtocolTransparent-vlan; *: Management-vlan; 

VID Type Ports 

1 common UT:GEO/0/2(U) GE0/0/3 (U) GE0/0/4 (U) GE0/0/5 (U) 
GE0/0/6 (D) GE0/0/7 (D) GE0/0/8 (D) GE0/0/11 (D) 
GE0/0/12 (D) GE0/0/14 (D) GE0/0/15 (D) GE0/0/1.6 (D) 

4 

GE0/0/17 (D) GE0/0/18 (D) GEO0/0/19 (D) GE0%0%20 (D) 
GE0/0/21 (U) GEO0/0/22 (U) GEO0/0/23 (U) GEO0/0/24 (D) 














Eth-Trunkl (U) 

2 common TG:Eth-Trunkl1 (U) 

3 common UT:GEO0/0/13(U) 
TG:Eth-Trunkl (U) 





4 common UT:GEO0/0/1 (U) 








TG:Eth-Trunkl (U) 
..0utput omitted... 
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<S2>display vlan 


The total number of vlans is : 4 


U: Up; D: Down; TG: Tagged; UT: Untagged; 


MP: Vlan-mapping; ST: Vlan-stacking; 





























$t: ProtocolTransparent-vlan; *: Management-vlan; 

VID Type Ports 

1 common UT:GEO/0/1(U) GEO/0/2(U) GEO0/0/4 (U) GE0/0/5 (U) 
GE0/0/6 (D) GE0/0/7 (D) GE0/0/8 (D) GE0/0/11 (U) 
GE0/0/12 (U) GE0/0/13 (U) GE0/0/14 (D) GE0/0/15 (D) 
GE0/0/16 (D) GE0/0/17 (D) GE0/0/18 (D) GEO/0/.19 (D) 
GE0/0/20 (D) GEO0/0/21 (D) GEO0/0/22 (D) GEQ/0723 (D) 











Eth-Trunkl (U) 


2 common UT:GEO0/0/24(U) 





TG:Eth-Trunkl(U) 


3 common TG:Eth-Trunkl (U) 





4 common UT:GEO0/0/3(U) 





TG:Eth-Trunkl(U) 


.output omitted... 


回 显 信息 中 灰色 阴影 标注 的 部 分 表明 接口 已 经 加 入 到 各 个 对 应 VLAN 中 ,并 
且 Eth-Trunk 1 端口 允许 所 有 VLAN 的 报 文 通过 。 


步骤 四 . 为 客户 端 配 置 IP 地 址 


分 别 为 主机 R1、S3、R3 和 S4 配 置 1P 地 址 。 由 于 无 法 直接 为 交换 机 的 物理 接 


加 分 配 IP 地 址 ， 因 此 将 S3 和 S54 的 本 地 管理 接口 VLANIF 1 作为 用 户 接口 ， 配 置 IP 
地 址 。 


<Huawei>system-view 
Huawei]sysname R1 


Rl]interface GigabitEthernet0/0/1 





Rl1-Gigabitl 





Ethernet0/0/1]ip address 10.0.4.1 24 


S3]interface vlanif 1 





S3-vlanifl]ip address 10.0.4.2 24 
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«Huawei»system-view 
Huawei]sysname R3 


R3]interface GigabitEthernet0/0/2 








R3-GigabitEthernet0/0/2]ip address 10.0.4.3 24 


S4jJinterface vlanif 1 





S4-vlanifl]ip address 10.0.4.4 24 
步骤 五 .。 检测 设备 连通 性 ， 验证 VLAN 配置 结果 


执行 ping 命 令 。 同 属 VLAN 4 中 的 R1 和 R3 能 够 相互 通信 。 其 他 不 同 VLAN 
间 的 设备 无 法 通信 。 
[R1]ping 10.0.4.3 


PING 10.0.4.3: 56 data bytes, press CTRL C to break 





Reply from 10.0.4.3: bytes-56 Sequence-1 ttl1-2255 time-6.ms 





Reply from 10.0.4.3: bytes-56 Sequence-2 ttl1-255 time-2, ms 


Reply from 10.0.4.3: bytes-56 Sequence-3 ttl-255 time-2 ms 








Reply from 10.0.4.3: bytes-56 Sequence-4 ttli*255 time-2 ms 








Reply from 10.0.4.3: bytes-56 Sequencez5.ttl-255 time-2 ms 





--- 10.0.4.3 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max - 2/2/6 ms 


[R1]ping 10.0:4.4 
PING 10420.4.4:-56 data bytes, press CTRL C to break 
Request time out 
Request time out 
Réquest time out 


Request time out 





Request time out 

--- 10.0.4.4 ping statistics --- 
5 packet(s) transmitted 
0 packet(s) received 


100.00% packet loss 


[EE , XRRTLASSGURITUS3LUSRSTUSAZIBJRSEXSDME, IDRRASESERYE, 
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步骤 六 . ”配置 Hybrid 端口 


配置 端口 的 类 型 为 Hybrid ,可 以 实现 端口 为 来 自 不 同 VLAN 报 文 打上 标签 或 
去 除 标 签 的 功能 。 本 任务 中 ,需要 通过 配置 Hybrid 端口 来 允许 VLAN 2 和 VLAN 4 
之 间 可 以 互相 通信 。 


将 S1 上 的 GO/O/1 端 口 和 32 上 的 GO/0/3 和 GO/0/24 端 口 的 类 型 配置 为 
Hybrid, 同时 ,配置 这 些 端口 发 送 数据 帧 时 能 够 删除 VLAN 2 和 VLAN 4 的 标签 。 


S1]interface GigabitEthernet 0/0/1 





S1-GigabitEthernet0/0/1]undo port default vlan 
Sl-GigabitEthernet0/0/1]port link-type hybrid 


Sl-GigabitEthernet0/0/1]port hybrid untagged vlan 2 4 





Sl1-GigabitEthernet0/0/1]port hybrid pvid vlan 4 


S2]interface GigabitEthernet 0/0/3 





S2-GigabitEthernet0/0/3]undo port default vlan 
S2-GigabitEthernet0/0/3]port link-type hybrid 
S2-GigabitEthernet0/0/3]port hybrid untagged vilan 2 4 
S2-GigabitEthernet0/0/3]port hybrid pvid vlan-.4 
S2-GigabitEthernet0/0/3]quit 


S2]interface GigabitEthernet 0/0/24 





S2-GigabitEthernet0/0/24]undo.port default vlan 
S2-GigabitEthernet0/0/24]port.link-type hybrid 


S2-GigabitEthernet0/0/24]port hybrid untagged vlan 2 4 














S2-GigabitEthernét0/0/24]port hybrid pvid vlan 2 


执行 port hybrid pvid vlan 命令 ， 可 以 配置 端口 收 到 数据 帧 时 需要 给 数据 
帧 添加 的 VLAN 标 签 。 同时 port hybrid untagged vlan 命令 可 以 配置 该 端口 在 向 
主机 转发 数据 帧 之 前 ， 删 除 相应 的 VLAN 标 签 。 
执行 ping 命 令 。 测 试 VLAN 3 中 的 R1 与 R3 是 否 还 能 通信 。 
<R1>ping 10.0.4.3 
PING 10.0.4.3: 56 data bytes, press CTRL C to break 


Reply from 10.0.4.3: bytes-56 Sequence-1 ttl1-255 time-1 ms 





Reply from 10.0.4.3: bytes-56 Sequence-2 ttl-2255 time-1 ms 








Reply from 10.0.4.3: bytes-56 Sequence-3 ttl1-255 time-1 ms 





Reply from 10.0.4.3: bytes-56 Sequence-4 ttl-255 time-10 ms 














Reply from 10.0.4.3: bytes-56 Sequence-5 ttl1-2255 time-1 ms 


--- 10.0.4.3 ping statistics --- 
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5 packet (s) 
5 packet (s) 


0.00% packet loss 


transmitted 


received 


round-trip min/avg/max - 


执行 ping 命 令 , 


<R1>ping 10.0.4.4 


PING 10.0.4.4: 56 


Re 


Re 


Re 


Re 


Re 


0.00% packet loss 


ply from 
ply from 
ply from 
ply from 


ply from 


10.0.4. 


10.0.4. 


10.0.4. 


10.0.4. 





10.0.4. 


4 


4 


4 


4 


4: 





: byt 


byt 


byt 
: byt 


spyt 


1/2/10 ms 


data bytes, 


HCNA-HNTD 第 一 章 以 太 网 与 VLAN 

















10.0.4.4 ping statistics --- 


packet (s) 





packet (s) 


transmitted 


received 


round-trip min/avg/max - 





time-41 ms 


time-2 


测试 VLAN 2 中 的 s4 能 否 与 VLAN 4 中 的 R1 通 信 。 


ms 


time-3 ms 


time-2 


time-2 


press CTRL C to break 
S256 Sequence-1 ttl1-2255 
S-56 Sequence-2 ttl-254 
s-56 Sequence-3 ttl1-254 
S-56 Sequence-4 ttl-254 
s=56 Sequence-5 ttl-254 
2/10/41 ms 


ms 


ms 


通过 配置 Hybrid 端口 ， 使 VLAN\2 内 的 主机 能 够 接收 来 自 VLAN 4 的 报 文 , 
反之 亦 然 。 而 没有 配置 Hybrid 端口 的 YLAN 3 中 地 址 为 10.0.4.2 的 主机 仍 无 法 与 
其 他 VLAN 主 机 通信 。 


配置 文件 








interface Gigabitl 


ip address 10.0.4.1 255.255.255.0 


+ 


return 


sSysnamè R1 


V200R003€00SPC200] 





Rl]display cürrent-configuration 


Ethernet0/0/1 


[8$3]display current-configuration 


+ 


!Software Version V100R006C00SPC800 
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sysname $3 

# 

interface Vlanifl 

ip address 10.0.4.2 255.255.255.0 
# 


interface Ethernet0/0/1 








shutdown 
# 


interface Ethernet0/0/23 








shutdown 
# 


return 


[S1]display current-configuration 


+ 


!Software Version V100R006C00SPC800 


sysname S1 


vlan batch 2 to 4 


lacp priority 100 








interface Eth-Trunk1 


port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
mode lacp-státioc 
# 


interface GigabitEthernet0/0/1 





port hybrid pvid vlan 4 
port hybrid untagged vlan 2 4 
# 


interface GigabitEthernet0/0/9 





eth-trunk 1 

lacp priority 100 
undo negotiation auto 
speed 100 

# 


interface GigabitEthernet0/0/10 
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eth-trunk 1 

lacp priority 100 
undo negotiation auto 
Speed 100 

# 


interface GigabitEthernet0/0/13 





port link-type access 
port default vlan 3 
# 


return 


[S2]display current-configuration 

# 

!Software Version V100R006CO00SPC800 
sysname S2 

# 

vlan batch 2 4 

# 

interface Eth-Trunk1 


port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
mode lacp-static 
# 


interface GigabitEthernet0/0/3 





port hybrid pvid vlan 4 
port hybrid üntagged vlan 2 4 
# 


interface GigabitEthernet0/0/9 





éth-truünk 1 

undó negotiation auto 
Speed 100 

# 


interface GigabitEthernet0/0/10 





eth-trunk 1 

undo negotiation auto 
speed 100 

# 


interface GigabitEthernet0/0/24 





p 
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port hybrid pvid vlan 2 

port hybrid untagged vlan 2 4 
# 

interface NULLO 

# 

user-interface con 0 
user-interface vty 0 4 

# 


return 


R3]display current-configuration 


V200R003C00SPC200] 


sysname R3 








interface GigabitEthernet0/0/2 





ip address 10.0.4.3 255.255.255.0 
# 


return 


[S4]display current-configuration 

# 

!Software Version V100R006G00SPC800 
Sysname S4 

# 

interface Vlanifl 

ip addres$s 10.0:4.4 255.255.255.0 


+ 








ifterfaeé Ethernet0/0/14 
shutdown 
# 


Return 


A 
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实验 1-3 GVRP 配置 
学 习 目 标 


。 ”掌握 GVRP 的 配置 方法 
。 ”掌握 GVRP 不 同 注册 模式 的 配置 方法 


S3 S4 


EO/O/1 X 
E0/0/1 
E0/0/13 P —E0/0/24 


S2 






S1 





G0/0/13 G0/0/24 





图 13*GVRP 配 置 实验 拓扑 图 


企业 网 络 中 往往 会 使 用 大 量 的 交换 机 且 需 要 在 网 络 中 划分 不 同 的 VLAN , 若 
网 络 管理 员 采 用 手工 配置 VLAN 的 创建 和 删除 ， 工 作 量 极 大 而 且 容 易 出 错 。 这 种 
情况 ,可 以 通过 GVRP 的 VLAN 动 态 注册 功能 来 自动 完成 VLAN 的 配置 。 


操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 ， 并 跳 过 步骤 2。 
如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 。 
«Quidway»system-view 


[Quidway]sysname S1 
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S1]interface GigabitEthernet 0/0/9 
S1-GigabitEthernet0/0/9]shutdown 


S1-GigabitEthernet0/0/9]quit 





S1]interface GigabitEthernet 0/0/10 








S1-GigabitEthernet0/0/10]shutdown 


«Quidway»system-view 


Quidway]sysname S2 





S2]interface GigabitEthernet 0/0/9 
S2-GigabitEthernet0/0/9]shutdown 


S2-GigabitEthernet0/0/9]quit 





S2]interface GigabitEthernet 0/0/10 








S2-GigabitEthernet0/0/10]shutdown 


«Quidway»system-view 


[Quidway]sysname $3 





[S3-Ethernet0/0/23]shutdown 


«Quidway»system-view 


[Quidway]sysname S4 





[S4-Ethernet0/0/14]shutdown 


步骤 二 . 清除 设备 上 原 有 的 配置 


在 S1 和 S2 上 < 删除 无 关 VLAN 并 关闭 Eth-Trunk 端 口 。 删 除 $53 和 S4 上 的 
VLANIF 1 接口 修 并 打开 S3 上 的 E0/0/1 端 口 。 


[S1]undo vylan batch 2 to 4 
Warnings The-configurations of the VLAN will be deleted. Continue?[Y/N]:y 


Lnfo: This operation may take a few seconds. Please wait for a moment...done. 





[SNinterface Eth-Trunk 1 





[S1-Eth-Trunkl1]shutdown 
[S2]undo vlan batch 2 to 4 
Warning: The configurations of the VLAN will be deleted. Continue?[Y/N]:y 


Info: This operation may take a few seconds. Please wait for a moment...done. 





S2]interface Eth-Trunk 1 


S2-Eth-Trunk1]shutdown 





S2-Eth-Trunkl]quit 





S2]interface GigabitEthernet 0/0/24 








S2-GigabitEthernet0/0/24]undo port hybrid vlan 2 4 
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[S3]interface Ethernet 0/0/1 





[S3-Ethernet0/0/1]undo shutdown 





[S3-Ethernet0/0/1]quit 
[S3]undo interface Vlanif 1 


Info: This operation may take a few seconds. Please wait for a moment...succeeded. 


[84]undo interface Vlanif 1 


Info: This operation may take a few seconds. Please wait for a moment...succeeded. 


步骤 三 .在 交换 机 之 间 配 置 Trunk 链 路 


S1]interface GigabitEthernet 0/0/13 





S1-Gigabitethernet0/0/13]port link-type trunk X 


S1-Gigabitethernet0/0/13]port trunk allow-pass vlan all 


S3]interface Ethernet 0/0/13 








S3-Ethernet0/0/13]port link-type trunk 
S3-Ethernet0/0/13]port trunk allow-pass vlan all 
S3-Ethernet0/0/13]quit 








S3]interface Ethernet 0/0/1 


$3-1 


EH 
ct 


hernet0/0/1]port link-type trunk 








$3-1 


EH 
ct 


hernet0/0/1]port trunk allow-pass vlan all 


S2]interface GigabitEthernet 0/0/24 





S2-Gigabitethetnet0/0724]port link-type trunk 


S2-Gigabitethernet0/0/24]port trunk allow-pass vlan all 


S4]interface Ethernet 0/0/24 








yy 
n 
1 

[E 

2 


hernet0/0/24]port link-type trunk 


[02] 
S 
1 

加 

E 


hernet0/0/24]port trunk allow-pass vlan all 


[0] 
R 
l 

加 

E 


hernet0/0/24]quit 








S4Jinterface Ethernet 0/0/1 


[02] 
~ 
1 

ti 

ct 


hernet0/0/1]port link-type trunk 

















[05] 
s 
l 

加 

E 


hernet0/0/1]port trunk allow-pass vlan all 
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步骤 四 . 开启 GVRP 功能 


首先 在 全 局 模式 下 开启 GVRP 功 能 ， 然 后 在 相应 接口 下 开启 GVRP 功 能 。 


S1]gvrp 





S1]interface GigabitEthernet 0/0/13 





S1-GigabitEthernet0/0/13]gvrp 


S3]gvrp 


S3]interface Ethernet 0/0/13 








S3-Ethernet0/0/13]gvrp 
S3-Ethernet0/0/13]quit 


S3]interface Ethernet 0/0/1 











S3-Ethernet0/0/1]gvrp 


S2]avrp 


S2]interface GigabitEthernet 0/0/24 





S2-Gigabitethernet0/0/24]gvrp 


S4]gvrp 


S4Jinterface Ethernet0/0/24 








S4-Ethernet0/0/24]gvrp 
S4-Ethernet0/0/24]quit 


S4Jinterface Ethernet.070/1 

















S4-Ethernet0/0/1]óvxp 


在 S1 竺 创建 YLAN 2 和 VLAN 100 , S2 EGIS&VLAN 2 和 VLAN 200 , fES3 
和 34 上 创建 VLAN 2. 


[S1]vlan-batch 2 100 
[S2]vlan batch 2 200 
[S3] vlan 2 


[S4] vlan 2 


在 S3 和 S4 上 执行 display gvrp statistics 命 令 ,查看 接口 的 GVRP 统 计 信 息 。 


[S3]display gvrp statistics 


GVRP statistics on port Ethernet0/0/1 





GVRP status : Enabled 





GVRP registrations failed s 
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GVRP last PDU origin 


GVRP registration type 


GVRP statistics on port 


GVRP status 


Ethernet0/0/13 





GVRP registrations failed 


GVRP last PDU origin 


GVRP registration type 


[S4]display gvrp statistics 


GVRP statistics on port 


GVRP status 


Ethernet0/0/1 





GVRP registrations failed 


GVRP last 


PDU origin 


GVRP registration type 


GVRP statistics on port 


GVRP 
GVRP 
GVRP last 


GVRP 


status 


PDU origin 


Ethernet0/0/2 





registrations failed 


registration type 
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5489-98ec-£012 


Normal 





Enabled 


0 


4clf-cc45-aace 


Normal 


Enabled 





0 
781d-ba99-4d8977 
Normal 


4 





Enabled 
0 
4clf-gc45-aacc 


Normal 


可 以 看 到 ， 交 换 机 接口 上 GVRP 的 注册 模式 默认 为 Normal。 执 行 display 
vlan 命令 ,查看 S3 和 S4 上 的 VLAN 的 学 习 情 况 。 


[83]display vlan 


The total number of vlans is : 4 


U: Up; D: 


Down; 


MP: Vlan-mapping; 


4: ProtocolTransparent-vlan; Ka 


TG: Tagged; 


UT: Untagged; 


ST: Vlan-stacking; 


Management-vlan; 


VID“ Type 


Ports 


Eth0/0/5 (D) 


Eth0/0/9 (D) 








GE0/0/1 (D) 








:Eth0/0/1 (U) 





Eth0/0/6 (D) Eth0/0 








Eth0/0/13(U 
Eth0/0/17(D 


Eth0/0/21 (D 


) Eth0/0/14(D) 


) Eth0/0/18 (D) 








) Eth0/0/22(D) 


GEO0/0/2 (D) 





Eth0/0/10(D) Eth0/0 

















/ (D) Eth0/0/8 (D) 
/11(D) Eth0/0/12(D) 
Eth0/0/16(D) 
Eth0/0/20(D) 
Eth0/0/24 (D) 

E0/0/3 (D) GE0/0/4 (D) 
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2 common  TG:Eth0/0/1(U) Eth0/0/13(U) 


100 dynamic TG:Eth0/0/13 (U) 








200 dynamic TG:Eth0/0/1 (U) 


.output omitted... 


[S4]display vlan 
The total number of vlans is : 4 


U: Up; D: Down; TG: Tagged; UT: Untagged; 
MP: Vlan-mapping; ST: Vlan-stacking; 
4: ProtocolTransparent-vlan; *: Management-vlan; 


VID Type Ports 


1 common UT:Eth0/0/1(U) Eth0/0/2 (D) Eth0/0/3 (D) Eth070/4 (D) 














Eth0/0/5(D) Eth0/0/6 (D) Eth0/0/7 (D) Eth0/0/8 (D) 
Eth0/0/9(D) Eth0/0/10(D) Eth0/0/11 (D) Eth0/0/12 (D) 
Eth0/0/13(D) Eth0/0/14 (D) Eth0/0/15 (D) Eth0/0/16(D) 
Eth0/0/17 (D) Eth0/0/18(D) Eth0/0/19.(D) Eth0/0/20 (D) 
Eth0/0/21 (D) Eth0/0/22 (D) Eth0/07234D) Eth0/0/24(U) 


























GEO0/0/1 (D 














GEO0/0/2 (D) GEO0/0/3 (D) GEO0/0/4 (D) 


2 common  TG:Eth0/0/1(U) Eth0/0/24(U) 





100 dynamic TG:Eth0/0/1 (U) 








200 dynamic TG:Eth0/0/24498) 


.output omitted... 


有 上 述 灰 色 标 注 部 分 可 以 看 出 ，S3 和 S4 能 够 动态 学 习 到 VLAN 10080] VLAN 
200 ,但 是 仅 有 一 侧 端 口 加 入 到 动态 学 习 的 VLAN 中 ,此 时 数据 帧 仅 能 单 向 通信 。 
还 需要 分 别 在 SI 上 创建 VLAN 200，S2 上 创建 VLAN 100， 使 得 交换 机 两 侧 端口 
都 加 入 到 动态 学 习 的 VLAN 中 ， 这 样 报 文才 能 够 双向 通信 。 

AS1]vlan 200 


[S2] vlan 100 


配置 完成 后 执行 display vlan 命令 , 查看 VLAN 中 的 接口 信息 。 
[S3]display vlan 
„output omitted... 
VID Type Ports 


1 common UT:Eth0/0/1(U) Eth0/0/2 (D) Eth0/0/3 (D) Eth0/0/4 (D) 
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2 common TG: 


100 dynamic TG: 


200 dynamic TG 











Eth0/0/1(U) 


Eth0/0/1 (U) 





: Eth0/0/1 (U) 


.output omitted... 


[S4]display vlan 


.output omitted... 


VID Type 


Ports 














Eth0/0/13 (U) 


Eth0/0/13 (U) 





Eth0/0/13 (U) 
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Eth0/0/5 (D) Eth0/0/6 (D) Eth0/0/7 (D) Eth0/0/8 (D) 

Eth0/0/9 (D) Eth0/0/10(D) Eth0/0/11 (D) Eth0/0/12 (D) 
Eth0/0/13(U) Eth0/0/14 (D) Eth0/0/15(D) Eth0/0/16(D) 
Eth0/0/17 (D) Eth0/0/18(D) Eth0/0/19(D) Eth0/0/20 (D) 
Eth0/0/21 (D) Eth0/0/22 (D) Eth0/0/23 (D) Eth0/0/24(D) 

GE0/0/1 (D) GE0/0/2 (D) GE0/0/3 (D) GE0/0/4 (D) 


1 common UT 


Eth0/0/13( 


Eth0/0/17( 








Eth0/0/21( 


Q 


E0/0/1 (D) 





2 common TG: 
100 dynamic TG: 


200 dynamic TG: 


Eth0/0/5(D 


Eth0/0/9(D 


: Eth0/0/1 (U) 





) Eth0/0/6 (D) 


) Eth0/0/10(D) 











Eth0/0/1(U) 


Eth0/0/1 (U) 





Eth0/0/ MU) 


„Output omitted... 


Eth0/0/2 (D) 











Eth0/0/24 (U) 


Eth0/0/24(U) 





Eth0/0/24(U) 


Eth0/0/11 (D) 





Eth0/0/3 (D 


Eth0/0/7 (D) Et 





D) Eth0/0/14 (D) Eth0/0/15(D) Et 
D) Eth0/0/18 (D) Eth0/0/Xr9.(D) Et 
D) Eth0/0/22 (D) Eth0/0723 (D) Et 

GE0/0/2 (D) GE0/0/3 (D) GE 








) Eth070/4 (D) 


h0/0/8 (D) 


Eth070/12 (D) 


h0/0/16(D) 
h0/0/20 (D) 





h0/0/24(U) 


0/0/4 (D) 


回 显 信 息 中 灰色 阴影 标注 的 部 分 表明 S3 和 S4 上 两 侧 的 端口 均 已 加 入 VLAN 
100 和 VEAN 200, 


步骤 五 . 


修改 交换 机 接口 的 注册 模式 


将 S3 的 E0/0/1 端 口 和 S4 的 E0/0/1 的 G 注 册 模 式 修 改 为 Fixed。 


S3]interfac 


Ethernet 











S4]interfac 


S3-Ethernet0/0/1]gvrp 


Ethernet 














S4-Ethernet0/0/1]gvrp 


0/0/1 


registration fixed 


0/0/1 


registration fixed 
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在 S3 和 S4 上 执行 display gvrp statistics 命 令 ,查看 接口 GVRP 统 计 信息 和 
注册 模式 。 


[S3]display gvrp statistics interface Ethernet 0/0/1 








GVRP statistics on port Ethernet0/0/1 





GVRP status : Enabled 





GVRP registrations failed $12 
GVRP last PDU origin : 5489-98ec- £012 


GVRP registration type : Fixed 


可 以 观察 到 E0/0/1 端 口 的 注册 模式 已 修改 为 Fixed。 该 端口 将 无 法 注册 动态 ~ 
VLAN, 

执行 display vlan 命令 ， 验 证 Fixed 注 册 模 式 的 配置 结果 。 
[S3]display vlan 
.output omitted... 


VID Type Ports 


1 common UT:Eth0/0/1(U) Eth0/0/2(D) Eth0/0/3D) Eth0/0/4 (D) 














Eth0/0/5(D) 
Eth0/0/9 (D) 
Eth0/0/13(U) 


Eth0/0/17 (D) 








Eth0/0/21 (D) 


Q 





E0/0/1 (D) 





G 


Eth0/0/6 (D) 
Eth0/0/10 (D) 
Eth0/0/14 (D) 


Eth0/0/18 (D) 





Eth0/0/22(D) 





E0/0/2 (DB) 


Eth0/0/7 (D) 
Eth0/0/141«D) 
Eth0/0715 (D) 


Eth0/0/19 (D) 








Eth0/0/23 (D) 





GE0/0/3 (D) 


Eth0/0/8 (D) 





Eth0/0/12(D) 
Eth0/0/16(D) 


Eth0/0/20 (D) 





Eth0/0/24(D) 





GEO0/0/4 (D) 


2 common TG:Eth0/0/1 W) 





Eth0/0/13(U) 





100 dynamic TG:Eth0/0/413 (U) 








200 dynamic TGxXEth0/0/13(U) 


回 显 信 息 中 灰色 阴影 标注 的 部 分 表明 端口 E0/0/1 无 法 注册 动态 VLAN 100 
和 200。 
将 S3 的 E0/0/1、S4 的 E0/0/1 接 口 的 GVRP 注 册 模 式 配置 为 Forbidden.。 


S3]interface Ethernet 0/0/1 











S3-Ethernet0/0/1]gvrp registration forbidden 





S4Jinterface Ethernet 0/0/1 











S4-Ethernet0/0/1]gvrp registration forbidden 


执行 display gvrp statistics 命 令 , 查看 接口 CVRP 统 计 信息 和 注册 模式 。 
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[S$3]display gvrp statistics interfac 


GVRP statistics on port 


GVRP status 


GVRP registrations failed 





GVRP last PDU origin 


GVRP registration type 








Ethernet0/0/1 


Enabled 





18 


Ethernet 0/0/1 


5489-98ec-£012 


: Forbidden 


可 以 观察 到 E0/0/1 接 口 的 注册 模式 已 修改 为 Forbidden.。 


执行 display vlan 命令 ， 验 证 Forbidden 注 册 模 式 的 配置 结果 。 


[83]display vlan 


The total number of vlans is : 


„output omitted... 
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VID Type Ports 

1 common UT:Eth0/0/1 (U) 
Eth0/0/5 (D) Eth0/0/6 (D) 
Eth0/0/9 (D) Eth0/0/10(D) 
Eth0/0/13(U) Eth0/0/14 (D) 
Eth0/0/17 (D) Eth0/0/18 (D) 
Eth0/0/21 (D) Eth0/0/22 (D) 
GEO/0/1 (D) GE0/0/2.D) 

2 common TG:Eth0/0/43 

100 dynamic TG:Eth070/13(U) 

200 dynamic TG;Eth0/0/13 (U) 

他 VLAN 的 报 文 通过 。 





























Eth0/0/2 (D) 








Eth0/0/7 (D) 
Eth0/0/11«(D) 
Eth0/0/15«(D) 


Eth0/0/19 (D) 





Eth0/0/23(D) 





GE0/0/3 (D) 


Eth0/0/3 (D) 





Eth0/0/8 (D) 
Eth0/0/12(D) 
Eth0/0/16(D) 


Eth0/0/20 (D) 








Eth0/0/24(D) 


GEO0/0/4 (D) 





Eth0/0/4 (D) 


在 Forbidden 模 式 下 ，E0/0/1 接 口 只 允许 VLAN 1 的 报 文通 过 ， 禁止 任何 其 


配置 文件 


[S1]display current-configuration 


+ 


!Software Version V100R0O06COOSPC800 


sysname S1 


+ 


vlan batch 2 100 200 
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gvrp 





interface Eth-Trunkl 

shutdown 

port link-type trunk 

port trunk allow-pass vlan 2 to 4094 
mode lacp-static 


# 





interface GigabitEthernet0/0/1 
port hybrid untagged vlan 2 4 
# 





interface GigabitEthernet0/0/9 
shutdown 

eth-trunk 1 

lacp priority 100 

undo negotiation auto 

Speed 100 


+ 





interface GigabitEthernet0/0/10 
shutdown 

eth-trunk 1 

lacp priority 100 

undo negotiation auto 

speed 100 


+ 





interfacec«GigabitEthernet0/0/13 
portclink-type trunk 

port trünk allow-pass vlan 2 to 4094 
gvrp 

# 


return 


[S2]display current-configuration 

# 

! Software Version V100R006COO0SPC800 
sysname S2 


+ 


sS 
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vlan batch 2 100 200 


gvrp 





interface Eth-Trunkl 

shutdown 

port link-type trunk 

port trunk allow-pass vlan 2 to 4094 
mode lacp-static 


# 





interface GigabitEthernet0/0/3 
port hybrid untagged vlan 2 4 
# 





interface GigabitEthernet0/0/9 
shutdown 

eth-trunk 1 

undo negotiation auto 

Speed 100 


+ 





interface GigabitEthernet0/0/10 
shutdown 

eth-trunk 1 

undo negotiation auto 

speed 100 

# 





interface GigábitEthérnet0/0/24 

port linK-type trunk 

port«étrunk dállow-pass vlan 2 to 4094 
gvrp 

# 


feturn 


[S3]display current-configuration 

# 

!Software Version V100R006COO0SPC800 
sysname $3 

# 


vlan batch 2 


sS 
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gvrp 


interface Ethernet0/0/1 





port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
gvrp 

gvrp registration forbidden 

# 


interface Ethernet0/0/13 





port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
gvrp 
# 


interface Ethernet0/0/23 








shutdown 
# 


return 


[S4]display current-configuration 


+ 


!Software Version V100R006COOSPC800 


Sysname S4 


vlan batch 2 


gvrp 








interfacé Ethernet0/0/1 





port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
gvrp 
gvrp registration forbidden 


+ 








interface Ethernet0/0/14 


shutdown 





interface Ethernet0/0/24 
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port link-type trunk 
port trunk allow-pass vlan 2 to 4094 
gvrp 
# 


Return 
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实验 1-4 VLAN 间 路 由 


学 习 目 标 


。 掌握 用 于 VLAN 间 路 由 的 Trunk 接 口 的 配置 方法 
。 ”掌握 在 单个 物理 接口 上 配置 多 个 子 接口 的 方法 


。 ”掌握 在 VLAN 间 实现 ARP 通 信 的 配置 方法 


拓扑 图 






GO/O/1 





10.0.4.1/24 10.0.8.1/24 


R1 


图 1.4 单 辟 路 由 实验 拓扑 图 


企业 内 部 网 络 通常 会 通过 划分 不 同 的 VLAN 来 隔离 不 同 部 门 之 间 的 二 层 通 
言 ， 并 保证 各 部 门 间 的 信息 安全 。 但 是 由 于 业务 需要 ， 部 分 部 门 之 间 需 要 实现 跨 
VLAN 通 信 ， 网络 管 理 员 决定 借助 路 由 器 ， 通 过 配置 单项 路 由 实现 R1 与 R3 之 间 
跨 VLAN 通 信和 需求 。 
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操作 步骤 


步骤 一 . 实验 环境 准备 
如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


配置 RI、R3 和 S1 的 设备 名 称 ， 并 按照 拓扑 图 配置 R1 的 G0/0/1 接 口 的 IP 地 
址 。 


<Huawei>system-view 





Enter system view, return user view with Ctrl-4Zz. 





[Huawei] sysname R1 


[R1]interface GigabitEthernet 0/0/1 





[R1-GigabitEthernet0/0/1]ip address 10.0.4.1 24 





«XHuawei»system-view 





Enter system view, return user view with Ctrl-4Z. 





[Huawei]sysname R3 


«Quidway»system-view 


[Quidway]sysname S1 


步骤 二 . 清除 设备 上 原 有 的 配置 


删除 R3 的 GO/Q/2 接 口 IP 地 址 ， 清 除 交换 机 上 GCVRP 的 配置 并 关闭 无 天 端口 。 


[R3]interface GigabitEthernet 0/0/2 





[R3-GigabitEthernet0/0/2]undo ip address 





[S1]undo gvrp 
Warning: All information about the GVRP will be deleted . Continue? [Y/N]:y 
Info: This operation may take a few seconds. Please wait for a moment...done. 


S1]interface GigabitEthernet 0/0/13 





S1-GigabitEthernet0/0/13]undo port trunk allow-pass vlan 2 to 4094 
S1-GigabitEthernet0/0/13]shutdown 
S1-GigabitEthernet0/0/13]quit 


Sl]interface GigabitEthernet 0/0/1 





Sl1-GigabitEthernet0/0/1]undo port hybrid vlan 2 4 











S1-GigabitEthernet0/0/1]quit 
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[S1]undo vlan 
Warning: The 


Info: This op 
[S2]undo gvr 


Warning: All 





Info: This op 


S2]interface 


EH 


S2-GigabitEt 


EH 


S2-GigabitEt 


ct 


S2-GigabitE 


S2]interface 





ct 


S2-GigabitE 





S2-GigabitEt 





S2]undo vlan 
Warning: The 
Info: This o 


[S3]undo gvr 


Warning: All 





Info: This o 


S3]interfac 


peration may take a few seconds. 


peration may take a féw Seconds. 


batch 2 100 200 
configurations of the VLAN will be deleted. Continue?[Y/N]:y 


eration may take a few seconds. Please wait for a moment...done. 


information about the GVRP will be deleted Continue?[Y/N]:y 


eration may take a few seconds. Please wait for a moment...done. 





GigabitEthernet 0/0/24 
hernet0/0/24]undo port trunk allow-pass vlan 2 to 4094 
hernet0/0/24]shutdown 


hernet0/0/24]quit 





GigabitEthernet 0/0/3 


hernet0/0/3]undo port hybrid vlan 2 4 








hernet0/0/3]quit 
batch 2 100 200 
configurations of the VLAN will be deleted. Continue?[Y/N]:y 


Please wait for a moment...done. 


information about the GVRP will be deleted Continue? [Y/N]:y 
Please wait for a moment...done. 


Ethernet 0/0/13 








/0/13]undo port trunk allow-pass vlan 2 to 4094 
/0/13]port link-type hybrid 
/0/13]quit 


Ethernét 0/0/1 








S3-EthernetO0 
S3-EthernetO0 
S3-EthernetO0 
S3]interfac 

S3-EthernetQ0 
S3-EthernetO 








S3]jundo-vlan 





S4]undo gvrp 


Warning: All 


/0/1]undo port trunk allow-pass vlan 2 to 4094 
/0/1]quit 
2 


information about the GVRP will be deleted Continue? [Y/N]:y 


























Info: This operation may take a few seconds. Please wait for a moment...done. 
S4]interface Ethernet 0/0/24 

S4-Ethernet0/0/24]undo port trunk allow-pass vlan 2 to 4094 
S4-Ethernet0/0/24]port link-type hybrid 

S4-Ethernet0/0/24]quit 

S4]interface Ethernet 0/0/1 
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[S4-Ethernet0/0/1]undo port trunk allow-pass vlan 2 to 4094 





[S4-Ethernet0/0/1]quit 


[S4]undo vlan 2 


步骤 三 . 为 R3 配置 IP 地 址 


按照 拓扑 图 配置 R3 上 的 G0/0/1 接 口 的 IP 地 址 。 


[R3]interface GigabitEthernet 0/0/1 





[R3-GigabitEthernet0/0/1]ip address 10.0.8.1 24 





步骤 四 . 创建 VLAN 


在 S1 上 创建 VLAN 4 和 VLAN 8 ， 将 端口 GO/O/1 加 入 到 VLAN 4 中 将 端口 
G0/0/3 加 入 到 VLAN 8 中 。 
Sllvlan batch 4 8 
Info: This operation may take a few seconds. Please wait for a moment...done. 


Sl]interface GigabitEthernet 0/0/1 





S1-GigabitEthernet0/0/1]port link-type access 
S1-GigabitEthernet0/0/1]port default vlan.4 
S1-GigabitEthernet0/0/1]quit 


Sl]interface GigabitEthernet0/0/3 





S1-GigabitEthernet0/0/3]port link-type access 


Sl-GigabitEthernet0/0/3]pott défault vlan 8 














S1-GigabitEthernet0/0/8]quit 


将 S1 连 接 路 由 器 的 GO/0/2 端 口 配置 为 Trunk 接 口 ， 并 人 允许 VLAN 4 和 VLAN 
8 的 报 文 通过 ; 


[S1]interface GigabitEthernet0/0/2 





[S1-GigabitEthernet0/0/2]port link-type trunk 





[S1-GigabitEthernet0/0/2]port trunk allow-pass vlan 4 8 


步骤 五 .配置 R2 上 的 子 接口 实现 VLAN 间 路 由 


由 于 路 由 器 只 有 一 个 实际 的 物理 接口 与 交换 机 S1 相 连 ， 而 实际 上 不 同 部 门 
属于 不 同 VLAN 和 不 同 网 段 ， 所 以 在 路 由 器 上 配置 不 同 的 逻辑 子 接口 来 扮演 不 同 
的 网 关 角 色 ,在 R2 上 配置 子 接口 G0/0/1.1 和 G0/0/1.3 ,并 作为 VLAN 4 和 VLAN 
8 的 网 天 。 


«Huawei»system-view 
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Enter system view, 


R2]interface Gigabitl 


Huawei]sysname R2 





return user view with Ctrl-4Z. 


Ethernet0/0/1.1 


R2-GigabitEthernet0/0/1.1]ip address 10.0.4.254 24 
R2-GigabitEthernet0/0/1.1]dotlq termination vid 4 
R2-GigabitEthernet0/0/1.1]arp broadcast enable 
R2-GigabitEthernet0/0/1.1]quit 





R2]interface GigabitEthernet0/0/1.3 


R2-GigabitEthernet0/0/1.3]ip address 10.0.8.254 24 


R2-GigabitEthernet0/0/1.3]dotlq termination vid 8 














R2-GigabitEthernet0/0/1.3]arp broadcast enable 


在 R1 和 R3 上 各 配置 一 条 默认 路 由 指向 各 自 的 网 天 。 t 


[R1]ip route-static 0.0.0.0 0.0.0.0 10.0.4.254 


p 


[R3]ip route-static 0.0.0.0 0.0.0.0 10.0.8.254 


配置 完成 后 ， 检 测 R1 与 R3 间 的 连通 性 。 
XRl»ping 10.0.8.1 


PING 10.0.8.1: 56 data bytes, press CTRL C to break 














Reply from 10.0.8.1: bytesz56 Sequence-1 ttl1-254 time-10 ms 
Reply from 10.0.8.1: bytes-56 Sequence-2 ttl1-254 time-1 ms 
Reply from 10.0.8.133, bytes-56 Sequence-3 ttl1-254 time-1 ms 
Reply from 10.0.8.1: bytes-56 Sequence-4 ttl-254 time-10 ms 
Reply from.10:0.8.1: bytes-56 Sequence-5 ttl-254 time-1 ms 











10.0.8.1 ping statistics --- 


5«4packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 
round-trip min/avg/max = 1/4/10 ms 


[R2]display ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 
Destinations 10 Routes 10 
Destination/Mask Proto Pre Cost Flags NextHop Interface 
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Om OR OA Direct O0 0 D 10.0.4.254 GigabitEthernet0/0/1.1 
10.0.4.254/32 Direct 0 0 D 127.0.0.1 GigabitEthernet0/0/1.1 
10.0.4.255/32 Direct 0 0 D. -127.0.:0.1 GigabitEthernet0/0/1.1 
10.0.8.0/24 Direct 0 0 D 10.0.8.254 GigabitEthernet0/0/1.3 
10.0.8.254/32 Direct 0 0 D 127.0.0.1 GigabitEthernet0/0/1.3 
10.0.8.255/32 Direct 0 0 D 127.0.0.1 GigabitEthernet0/0/1.3 
127.0.0.0/8 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.255.255.255/32 Direct 0 0 D. 127;:0.0.1 InLoopBack0 
255.255.255.255/32 Direct 0 0 D 127.0.0.1 InLoopBack0 * 
配置 文件 

R1]display current-configuration K 
V200R003C00SPC200] 

sysname R1 

interface GigabitEthernet0/0/1 

ip address 10.0.4.1 255.255.255.0 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.4.254 

# 
user-interface con 0 

authentication-modê\ password 

set authentication password 

Cipher $$$$dDf]PXHzJ;Xs$X»hOkm!,.-Iq610K K6tI]cc-;k o'C.«4L,$$$$ 
user-interface vty 0 4 

# 

return 

R2]display current-configuration 

V200R003C00SPC200] 

Sysname R2 

interface GigabitEthernet0/0/1 

interface GigabitEthernet0/0/1.1 
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dotlq termination vid 4 

ip address 10.0.4.254 255.255.255.0 
arp broadcast enable 

# 


interface GigabitEthernet0/0/1.3 





dotlq termination vid 8 

ip address 10.0.8.254 255.255.255.0 
arp broadcast enable 

# 

user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$$$|nRPL^hr2IXi7LHDID!/,.*$.82$h;3:,hXO2dkfikaWI.* (,9$$2$ 


user-interface vty 0 4 
# 


return 


R3]display current-configuration 


V200R003C00SPC200] 


sysname R3 








interface GigabitEthernet0/0/1 





ip address 10.0.8.1 255.255.255.0 

# 

ip route-statie^0.0\0.0 0.0.0.0 10.0.8.254 
# 

user-interface con 0 

authentication-mode password 


Set authentication password 
cipher $$$$W|$)M5D)vGbY^gKN; QR, . *d; 8Mp> | FEU, :~D~8b59~..*g, $$$$ 





user-interface vty 0 4 
# 


Return 


[S1]display current-configuration 
# 
!Software Version V100R0O06COOSPC800 


sysname S1 
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# 
vlan batch 4 8 


# 


interface GigabitEthernet0/0/1 





port link-type access 
port default vlan 4 
# 





interface GigabitEthernet0/0/2 
port link-type trunk 

port trunk allow-pass vlan 4 8 
# 


interface GigabitEthernet0/0/3 





port link-type access 
port default vlan 8 

# 

user-interface con 0 
user-interface vty 0 4 
# 


return 
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实验 1-5 配置 三 层 交 换 
学 习 目标 


e ”掌握 通过 三 层 交 换 机 实现 VLAN 间 通信 有 的 配置 方法 
。 ”掌握 通过 以 太 网 Trunk 链 路 实现 VLAN 间 通信 的 配置 方法 


。 ”掌握 在 不 同 VLAN 间 配置 动态 路 由 协议 OSPF 的 方法 





Goo2 » 


/ VLAN3 ^ VLANA £3 / VLANG Es \ VLAN 7 i 
! 10.0.3.0/24 Á X 10.0.4.0/24 i 10.0.6.0/24 10. 0.7.0/24 j 








图 1.5 三 层 交 换 实验 拓扑 图 


在 企 业 网 络 中 ， 通 过 使 用 三 层 交 换 机 可 以 简便 的 实现 VLANI 间 通信 。 作 为 企 
业 的 网 络 管理 员 ， 您 需要 在 三 层 交 换 机 配置 VLANIF 接 口 的 三 层 功 能 ， 使 得 如 上 
所 示 拓 扑 图 中 的 网 络 能 够 实现 VLAN 间 通信 。 此 外 , 为 了 使 S1 和 392 所 连接 的 不 同 
网 络 能 够 进行 三 层 通 E, 还 需要 配置 路 由 协议 。 


操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配 置 设 备 ， 需 要 从 步骤 1 开始 ,然后 跳 过 步 
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如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


将 R1I 上 的 GO/O/1 接 口 的 IP 地 址 配置 为 10.0.4.1/24， 在 S1 和 S2 之 间 配 置 
Eth-Trunk， 并 关闭 S3 和 S4 上 的 无 关 端 口 。 


<Huawei>system-view 





Enter system view, return user view with Ctrl+zZ. 





[Huawei] sysname R1 


[R1]interface GigabitEthernet 0/0/1 








[R1-GigabitEthernet0/0/1]ip address 10.0.4.1 24 


«Huawei»system-view 





Enter system view, return user view with Ctrl-4Zz. 





[Huawei]sysname R3 


«Quidway»system-view 


Quidway]sysname S1 





Sl1]interface Eth-Trunk 1 
Sl-Eth-Trunkl]mode lacp-static 
Sl-Eth-Trunkl]port link-type trunk 


Sl-Eth-Trunkl]port trunk allow-pass vlan-all 





Sl-Eth-Trunkl]quit 





Sl]interface GigabitEthernet 0/0/9 


S1-GigabitEthernet0/0/9]eth-trunk 1 





S1-GigabitEthernet0/0/9]interface GigabitEthernet 0/0/10 








S1-GigabitEthernet0/0/10]eth-trunk 1 


«Quidway»system-view 


Quidway]sysname S2 





S2]interface Eth-Trunk 1 
S2-Eth-Trunkl]mode lacp-static 
S2-Eth-Trunkl]port link-type trunk 


S2-Eth-Trunkl]port trunk allow-pass vlan all 





S2-Eth-Trunkl]quit 


S2]interface GigabitEthernet 0/0/9 





S2-GigabitEthernet0/0/9]eth-trunk 1 


S2-GigabitEthernet0/0/9]interface GigabitEthernet 0/0/10 











S2-GigabitEthernet0/0/10]eth-trunk 1 
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«Quidway»system-view 


[Quidway]sysname $3 





[S3]interface Ethernet 0/0/23 








[S3-Ethernet0/0/23]shutdown 


«Quidway»system-view 


[Quidway]sysname S4 





[S4]interface Ethernet 0/0/14 








[S4-Ethernet0/0/14]shutdown 


步骤 二 . 清除 设备 上 原 有 的 配置 


清除 设备 上 的 VLAN 路 由 和 子 接口 配置 。 


Rl]undo ip route-static 0.0.0.0 0 


R2]undo interface GigabitEthernet 0/0/1.1 





R2]undo interface GigabitEthernet 0/0/1.3 





R3]interface GigabitEthernet 0/0/1 





R3-GigabitEthernet0/0/1]undo ip address 





R3-GigabitEthernet0/0/1]quit 


R3]undo ip route-static 0.0.00 0 





S1]Jundo vlan batch 4 8 
Warning: The configurations of the VLAN will be deleted. Continue?[Y/N]:y 


Info: This opération may take a few seconds. Please wait for a moment...done. 


S1]interface GigabitEthernet 0/0/2 
S1-GigabitEthernet0/0/2]undo port trunk allow-pass vlan 4 8 





Sl-GigabitEthernet0/0/2]quit 





S1]interface GigabitEthernet 0/0/13 





S1-GigabitEthernet0/0/13]undo shutdown 


S2]interface GigabitEthernet0/0/24 











S2-GigabitEthernet0/0/24]undo shutdown 


重新 打开 Sl 和 S2 间 的 Eth-Trunk 接 口 。 


[S1]interface Eth-Trunk 1 








[S1-Eth-Trunkl1]undo shutdown 
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Eth-Trunk 1 





[S2]interface 


[S2-Eth-Trunkl]undo shutdown 





步骤 三 . 


[S1]vlan batch 3 to 7 
Info: This operation may take 
[S2] vlan batch 3 to 7 


Info: This operation may take 


确认 VLAN 已 成 功 创建 。 


[S1]display vlan 
The total number of vlans is 
.output omitted... 


VID Type Ports 


a few seconds. 


a few seconds. 
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在 Sl 和 S2 批量 创建 VLAN 3 到 VLAN 7 


Please wait for a moment...done. 


Please wait for a moment...done; 


1 common UT:GEO/0/1 (U) 








GE0/0/5 (U) GE0/0/6 (B) GE0/0/7 (D) 
GE0/0/11 (D) GE0/0/12.(D) GE0/0/13 (D) 
GE0/0/15 (D) GEQ7 0/16 (D) GE0/0/17 (D) 
GE0/0/19 (D) GEO/0/20 (D) GE0/0/21 (U) 
GE0/0/23 (W) GEO0/0/24 (D) Eth-Trunkl (U) 

B common TG:Eth-cTrunkl (U) 

4 common TG:ECh-Trunkl (U) 

S commop  *XG:Eth-Trunkl (U) 

6 common TG:Eth-Trunkl (U) 

1 common TG:Eth-Trunkl (U) 


























..0Utput omitted... 


[S2]display vlan 
The total number of vlans is 
.output omitted... 


VID Type Ports 


GEO/0/2 (D) 














GEO/0/23 (U) 











GEO/0/4( 








GE0/0/8 (D) 
GEO/0/14( 


GEO/0/18( 





GEO/0/22( 





1 common UT:GE0/0/1 (U) 





GE0/0/5 (U) 





Q 


GE0/0/2 (D) 





E0/0/6 (D) G 





GE0/0/3 (U) 








E0/0/7 (D) 


GE0/0/4( 





GE0/0/8 (D) 





U) 
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GE0/0/11 (U) GE0/0/12 (U) GE0/0/13(U) GE0/0/14(D 
GE0/0/15 (D) GEO0/0/16 (D) GEO/0/17 (D) GEO/0/18 (D) 
GE0/0/19 (D) GE0/0/20 (D) GEO/0/21 (D) GEO/0/22 (D) 
GE0/0/23(D GE0/0/24 (D) Eth-Trunkl(U) 

3 common TG:Eth-Trunkl (U) 

4 common TG:Eth-Trunkl (U) 

5 common TG:Eth-Trunkl (U) 

6 common TG:Eth-Trunkl (U) 

了 common TG:Eth-Trunkl (U) 























步骤 四 . 配置 Eth-Trunk 链 路 


将 S1 上 的 GO/O/ ipd 13 端 口 分 别 加 入 VLAN 4 和 VLAN 3。 ONES 
G0/0/3 和 G0/0/24 端 口 A AN 6 和 VLAN 7, 


Sl]jinterface Eth-Trunk 1 





Sl-Eth-Trunkl]port trunk pvid vlan 5 





Sl-Eth-Trunkl]quit 





Sl]interface GigabitEthernet 0/0/1 


S1-GigabitEthernet0/0/1]port link-type access 


E 


S1-GigabitEthernet0/0/1]port default, vlafi /4 
S1-GigabitEthernet0/0/1]quit 


S1]interface GigabitEthernet 0/0/13 





S1-GigabitEthernet0/0/13]pórt link-type access 








S1-GigabitEthernet0/0/13]port default vlan 3 





S2]interface-«Eth-Trunk 1 


S2-Eth-Trunkl]port trunk pvid vlan 5 





S2-Eth-Trunkl]quit 





S2]interface GigabitEthernet 0/0/3 
S2-GigabitEthernet0/0/3]port link-type access 


S2-Gigabit 


四 


thernet0/0/3]port default vlan 6 
S2-GigabitEthernet0/0/3]quit 


S2]interface GigabitEthernet 0/0/24 





S2-GigabitEthernet0/0/24]port link-type access 














S2-GigabitEthernet0/0/24]port default vlan 7 


配置 完成 后 ， 执 行 display vlan 命令 查看 VLAN 以 及 成 员 端口 信息 。 


«Sl»display vlan 
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The total number of vlans 
„Output omitted... 


VID Type Ports 


is : 6 
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1 common UT:GE0/0/2 (D) 
GE0/0/6 (D) 
GE0/0/12 (D) 


GEO/0/17 (D) 





GEO/0/21 (U) 


Eth-Trunkl (U) 





3 common UT:GE0/0/13(U) 


TG:Eth-Trunkl(U) 








4 common UT:GEO0/0/1 (U) 








TG:Eth-Trunkl(U) 





GEO/0/3 (U) 


Q 


E0/0/7 (D) 





Q 


E0/0/14 (D) 


Q 


E0/0/18 (D) 





Q 


E0/0/22 (U) 


5 common TG:Eth-Trunk1 (U) 


6 common TG:Eth-Trunk1 (U) 





7 common TG:Eth-Trunk1 (U) 


..0Output omitted... 


<S2>display vlan 


The total number of vlans is : 6 


..0utput omitted... 


VID Type Ports 


GE0/0/4 (U) 





Q 


E0/0/8 (D) 





GE0/0/15 (D) 


GE0/0/19 (D) 





Q 


E0/0/23 (U) 








GE0/0/16( 


GE0/0/20( 





Q 


E0/0/24( 


GE0/0/5( 


GE0/0/11 (D) 








GE070/6 (D) 
GE0/0/12 (U) 


GE0/0/16 (D) 





GE0/0/20 (D) 


Eth-Trunk1 (U) 





3 common TG:Eth-Trunk1 (U 








GE0/0/13 (U) 


GE0/0/17 (D) 





GE0/0/21 (D) 


) 
) 
) 











4 common TG:Eth-Trunk1 (U 
5 common TG:Eth-Trunk1 (U 
6 common UT:GE0/0/3 (U) 
TG:Eth-Trunkl (U) 

7 common UT:GE0/0/24 (U) 
TG:Eth-Trunk1 (U) 











GE0/0/14 (D) 


GE0/0/18 (D) 





GE0/0/22 (D) 





GE0/0/5( 





GE0/0/15( 


GE0/0/19( 





GE0/0/23( 


GE0/0/11 (U) 
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步骤 五 .配置 VLANIF 三 层 接口 


分 别 为 S1 上 的 VLANIF 3、VLANIF 4 和 VLANIF 5 以 及 S2 上 的 VLANIF 5, 
VLANIF 6 和 VLANIF 7 配置 IP 地 址 。 
S1]interface Vlanif 3 
S1-Vlanif3]ip address 10.0.3.254 24 
S1-Vlanif3]interface Vlanif 4 
S1-Vlanif4]ip address 10.0.4.254 24 


S1-Vlanif4]interface Vlanif 5 











S1-Vlanif5]ip address 10.0.5.1 24 


S2]interface Vlanif 5 

S2-Vlanif5]ip address 10.0.5.2 24 
$2-Vlanif5]interface Vlanif 6 
S2-Vlanif6]ip address 10.0.6.254 24 


S2-Vlanif6]interface Vlanif 7 

















S2-Vlanif7]ip address 10.0.7.254 24 


步骤 六 . RI. R3. S381 S4 配置 JP 地 址 和 缺 省 路 由 


本 实验 中 ，R1、R3、S3 和 S54 模拟 客户 端 主 机 ， 四 人 台 设 备 都 需要 配置 一 个 用 
户 IP 地 址 ， 其 中 $3 和 S4 使 用 VMKANIF 1 接口 配置 IP 地 址 ， 然后 将 S3 的 E0/0/13 端 
口 和 S4 的 E0/0/24 端 口 加 闪 到 VBCAN 1 中 。R1 的 地 址 应 配置 为 10.0.4.1/24。 最 后 
为 每 台 设 备 配置 一 条 缺 省 静态 路 由 指向 网 关 。 


Rl]ip route-statio, 0.0.0.0 0.0.0.0 10.0.4.254 


S3]interface Vlanif 1 
S3-Vilanifl]ip address 10.0.3.3 24 
$3-Vlanifl]qauit 


S3]ip route-static 0.0.0.0 0.0.0.0 10.0.3.254 


R3]interface GigabitEthernet 0/0/2 





R3-GigabitEthernet0/0/2]ip address 10.0.6.3 24 





R3-GigabitEthernet0/0/2]quit 


R3]ip route-static 0.0.0.0 0.0.0.0 10.0.6.254 


S4jJinterface Vlanif 1 





S4-Vlanifl]ip address 10.0.7.4 24 
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[S4-Vlanifl]quit 
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[S4]ip route-static 0.0.0.0 0.0.0.0 10.0.7.254 


步骤 七 . 


检测 VLAN 3 和 VLAN 4 间 的 连通 性 


检测 Rl1 和 S3 之 间 的 连通 性 。 


<R1>ping 10.0.3.3 


PING 10 
Reply 
Reply 
Reply 
Reply 


Reply 


2045,35 35 


from 1 


from 1 


from 1 


from 1 


from 1 


56 data bytes, press CTRL C to break 


0.0. 


0.0. 


0.0. 


0.0. 
0.0. 


SIE 


3 





bytes-56 Sequence-1 ttl1-254 time-37 ms 


bytes-56 Sequence-2 tt1-253 time-2 ms 








bytes-56 Sequence-3 ttl1-253 time-10 ms 


bytes-56 Sequence-4 tt1-253 time-3 ms 











bytes-56 Sequence-5 tt1-253 time-2 ms 


--- 10.0.3.3 ping statistics --- 


5 packet (s) 





5 packet (s) 


0.00$ packet loss 


round-trip min/avg/max 


transmitted 


received 


= 2/10/37 ms 


检测 RI 和 R3 之 间 的 连通 性 。 


XRl»ping 10.0.6.3 


PING 10.0.6.3: 


Request time 


Request time 


Request time 


Request time 





Request, time 


56 data bytes, press CTRL C to break 


out 


out 


out 


out 


out 


--- 40.0.6.3 ping statistics --- 


5. packet (s) 


0 packet (s) 


100.00% packet loss 


transmitted 


received 


回 显 信息 表明 R1 和 R3 无 法 互相 通信 。 执 行 tracert 命 令 , 查找 通信 失败 的 原 


因 。 


[R1]tracert 10.0.6.3 


traceroute to 10.0.6.3(10.0.6.3), max hops: 30 ,packet length: 40,press CTRL C 


to break 


1 10.0.4.254 17 ms 


4 


ms 


4 ms 
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2 * * * 


由 显示 信息 可 以 看 出 ，R1 向 目的 地 址 10.0.6.3 发 送 了 数据 报 文 ， 但 是 数据 报 
文 仅 能 到 达 地 址 为 10.0.4.254 的 网 关 设 备 。 


在 网 关 设 备 S1 上 查看 是 否 拥有 到 达 目 的 网 络 的 路 由 条 目 


[S1]display ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 





Destinations : 8 Routes : 8 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.3.0/24 Direct 0 0 D 10.0.3.254 Vlanif3 
10.0.3.254/32 Direct 0 0 D 127.0.0.1  InLoopBackO0 
10.0.4.0/24 Direct 0 0 D 10.0.4.254 V1lanif4 
10.0.4.254/32 Direct 0 0 D 127.0.0.1 ^InLoopBack0 
10.0.5.0/24 Direct 0 0 D 10.0451 Vlanif5 
10.0.5.1/32 Direct 0 0 D -F217.0.0.1 InLoopBack0 
127.0.0.0/8 Direct 0 0 D 127.0.0.1  InLoopBack0 
12720:20.1/32 Direct 0 0 D 127.0.0.1  InLoopBack0 

















由 显示 信息 可 以 看 出 ， 由 于 网 段 10.0.6.0/24 并 非 $1 直 连 网 段 ， Tc 
未 配置 任何 静态 路 由 或 用 动态 路 由 协议 获取 该 网 段 路 由 信息 ， 因 而 31 没 
该 网 段 的 路 由 条 目 ，S1 就 无 法 将 数据 包 正 确 转发 到 该 网 段 。 


步骤 八 、 在 Sl 和 S2 上 配置 OSPF 协议 


Sl1]ospf 
Sl-ospf-1]area 0 


Sl1-ospf-1-area-0.0.0.0]network 10.0.0.0 0.255.255.255 


S2]ospf 


S2-ospf-1]area 0 








S2-ospf-1-area-0.0.0.0]network 10.0.0.0 0.255.255.255 


配置 完成 后 ， 待 OPF 收 敛 完成 ， 再 查看 S1 的 路 由 表 。 


[S1]display ip routing-table 


Route Flags: R - relay, D - download to fib 
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Routing Tables: Public 
Destinations 10 
Destination/Mask Proto 
10.0.3.0/24 Direct 0 
10.0.3.254/32 Direct 0 
10.0.4.0/24 Direct 0 
10.0.4.254/32 Direct 0 
10.0.5.0/24 Direct 0 
10.0.5.1/32 Direct 0 
L000 G0 26 OSEE 10 
OO T02 OSPF 10 
127.0.0.0/8 Direct 0 
127.0.0.1/32 Direct 0 


可 以 观 


zx 


7J- 
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Routes : 10 
Pre Cost Flags NextHop 
0 D 10.0.3.254 
0 D 127.0.0.1 
0 D 10.0.4.254 
0 D- X27.0.0t 
0 D 10.0.5.1 
0 D 127.0.0.1 
2 DO 
2 DECORE 
0 D 127.0.0.1 
0 D 127.0.0.1 


由 。 再 次 检测 R1 和 R3 间 的 连通 性 。 


[R1]ping 10.0.6.3 


PING 10.0. 


Re 


Re 


Re 


Re 


Re 


5 
0 





ply 
ply 
ply 
ply 


ply 


6.3: 56 data bytes, press CTRL C/to. break 


from 10.0.6. 
from 10.0.6. 
from 10.0.6. 
from 10.0.6. 


from 10.0.6. 


Sz 


3x 


ou 


Sis 


3: 





bytes-56 Sequences tt1-253 time-1 


bytes-56 Sequence-2 tt1-253 time-1 








bytes-56 Sequence-3 tt1-253 time-1 





byteszc56 Sequence-4 tt1-253 time-1 





bytes-56 Sequence-5 tt1-253 time-1 





10.0.6.3 ping&^statistics --- 


packet (s) 


packet(s) 


.00$ packet loss 


received 


transmitted 


round-trip min/avg/max = 1/4/11 ms 


I[R1]ping 10.0.7.4 


PING 10.0. 


Re 


Re 


Re 


Re 


Re 





ply 
ply 
ply 
ply 


ply 


7.4: 56 data bytes, press CTRL C to break 


from 10.0.7. 
from 10.0.7. 
from 10.0.7. 
from 10.0.7. 


from 10.0.7. 





bytes-56 Sequence-1 tt1-253 time-3 








bytes-56 Sequence-2 ttl1-252 time-2 


Interface 


Vlanif3 


InLoopBackO0 


Vlanif4 


InLoopBackO0 


Vlanif5 











InLoopBackO0 
Vlanif5 
Vlanif5 


InLoopBack0 





InLoopBseNQ 
< 


1 ms 
ms 
0 ms 
ms 


ms 


0 ms 


ms 


bytes-56 Sequence-3 ttl1-252 time-3 ms 








bytes-56 Sequence-4 tt1-252 time-2 





bytes-56 Sequence-5 tt1-252 time-2 





ms 


ms 


到 S1 已 经 通过 OSPF 学 习 到 了 10.0.6.0/24 和 TO.07.0/24 这 两 条 路 
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--- 10.0.7.4 ping statistics --- 
5 packet(s) transmitted 
5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 2/7/30 ms 


配置 文件 


Rl]display current-configuration 


V200R003C00SPC200] 


sysname R1 








interface GigabitEthernet0/0/1 





ip address 10.0.4.1 255.255.255.0 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.4.254 
# 

user-interface con 0 

authentication-mode password 


set authentication password 
cipher %$%S$dD#}P<HzJ;Xs%$X>hOkm!, 4+Iq61QK`K6tI}cc-;k_o`C.+L,%$3%$ 


user-interface vty 0 4 
# 


return 


[S1]display current-configuration 

# 

"Software Version V100R0O06CO00SPC800 
sysname S1 

# 

vlan batch 3 to 7 

# 

interface Vlanif3 

ip address 10.0.3.254 255.255.255.0 
# 

interface Vlanif4 

ip address 10.0.4.254 255.255.255.0 


+ 
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interface Vlanif5 

ip address 10.0.5.1 255.255.255.0 
# 

interface Eth-Trunkl 


port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
mode lacp-static 


+ 





interface GigabitEthernet0/0/1 
port link-type access 
port default vlan 4 


# 





interface GigabitEthernet0/0/9 
eth-trunk 1 

lacp priority 100 

undo negotiation auto 

Speed 100 


+ 





interface GigabitEthernet0/0/10 
eth-trunk 1 

lacp priority 100 

undo negotiation auto 

speed 100 


# 





interface GigaábitEthernet0/0/13 
port linkK-type access 
port«*default vlan 3 
# 
ospf-1 

area 0.0.0.0 

network 10.0.0.0 0.255.255.255 
# 
user-interface con 0 
user-interface vty 0 4 
# 


return 


[S2]display current-configuration 


p 
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# 

!Software Version V100R006CO0SPC800 
sysname S2 

# 

vlan batch 3 to 7 

# 

interface Vlanif5 

ip address 10.0.5.2 255.255.255.0 

# 

interface Vlanif6 

ip address 10.0.6.254 255.255.255.0 
# 

interface Vlanif7 

ip address 10.0.7.254 255.255.255.0 
# 

interface Eth-Trunkl 


port link-type trunk 





port trunk allow-pass vlan 2 to 4094 
mode lacp-static 
# 


interface GigabitEthernet0/0/3 





port link-type access 
port default vlan 6 
# 





interface GigdbitEthernet0/0/9 
eth-trunK 1 

undo-«negotiaátion auto 

speed 100 

# 


interface GigabitEthernet0/0/10 





eth-trunk 1 

undo negotiation auto 
speed 100 

# 


interface GigabitEthernet0/0/24 





port link-type access 
port default vlan 7 
# 
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ospf 1 

area 0.0.0.0 

network 10.0.0.0 0.255.255.255 
# 
user-interface con 0 
user-interface vty 0 4 
# 


return 


[S3]display current-configuration 

# 

!Software Version V100R006C00SPC800 
sysname $3 

# 

interface Vlanif1 

ip address 10.0.3.3 255.255.255.0 


+ 





interface Ethernet0/0/23 





shutdown 

# 

ip route-static 0.0.0.0 0.0.0.0.10.0.3.254 
# 

user-interface con 0 

user-interface vty 0 4 

# 


return 


[S4NdisBlay current-configuration 


# 


TSoftware Version V100R006COOSPC800 


Sysname S4 


undo http server enable 


drop illegal-mac alarm 








aaa 


authentication-scheme default 


p 
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authorization-scheme default 
accounting-scheme default 

domain default 

domain default admin 

local-user admin password simple admin 
local-user admin service-type http 

# 

interface Vlanifl 

ip address 10.0.7.4 255.255.255.0 

# 


interface Ethernet0/0/14 








shutdown 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.7.254 
# 

user-interface con 0 

user-interface vty 0 4 

# 


Return 





第 56 页 华为 保密 信息 ， 未 经 授权 禁止 扩散 


HCNA-HNTD 第 二 章 企业 广域网 配置 
第 二 章 企业 广域网 配置 
实验 2-1 HDLC 和 PPP 配置 
学 习 目 标 


。 ”掌握 HDLC 的 基本 配置 方法 

。 ”掌握 DCE 时 钟 波 特 率 的 配置 方法 

。 ”掌握 PPP 的 基本 配置 方法 

。 ”掌握 PPP 链 路 的 PAP 认 证 的 配置 方法 

。 ”掌握 PPP 链 路 的 CHAP 认 证 的 配置 方法 


^ 
Qu 





10.0.12.0/24 10.0.23.0/24 


图 2.1 HDLC 和 PPP 配 置 实验 拓扑 图 


您 是 公司 的 网 络 管理 员 。 公 司 总 部 有 一 台 路 由 器 R2 ，R1 和 R3 分 别 是 其 他 两 
个 分 部 的 路 由 器 。 现 在 您 需要 将 总 部 网 络 和 分 部 网 络 通过 广域网 连接 起 来 。 在 广 
域 网 链 路 上 尝试 使 用 HDLC 和 PPP 协 议 ， 并 在 使 用 PPP 协 议 时 配置 了 不 同 的 认证 
方式 保证 安全 。 
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操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ,需要 从 步骤 1 开始 ,然后 跳 过 步骤 2。 
如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 。 


<Huawei>system-view 








Enter system view, return user view with CtrlL+2 . 


Huawei]sysname R1 


«XHuawei»system-view 








Enter system view, return user view with CtrlL+2 . 


Huawei]sysname R2 





XHuawei»system-view 





Enter system view, return user view with CtrlL+2 . 











Huawei]sysname R3 


步骤 二 . 清除 设备 上 原 有 的 配置 


删除 缺 省 静态 路 由 的 配置 并 关闭 指定 的 以 太 网 接口 。 删 除 无 关 的 VLAN 配 置 。 


Rl]undo ip route-static.0:0.0.0 0 


Rl]interface GigabitEthernet 0/0/1 








R1-GigabitEthernet0/0/1]shutdown 


R3]undo ip route-static 0.0.0.0 0 





R3]interface GigabitEthernet 0/0/2 





R3-GigabitEthernet0/0/2]shutdown 


S1]undo interface Vlanif 3 


S1]undo interface Vlanif 5 





Sl1]undo vlan batch 3 5 to 7 
Warning: The configurations of the VLAN will be deleted. Continue?[Y/N]:y 
Info: This operation may take a few seconds. Please wait for a moment...done. 


[S1]interface GigabitEthernet 0/0/1 





[S1-GigabitEthernet0/0/1]undo port default vlan 





[S1-GigabitEthernet0/0/1]quit 
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[S1]undo 
[S2] undo 
[S2] undo 
[S2] undo 


Warning: 
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ospf 1 

interface Vlanif 5 
interface Vlanif 7 
vlan batch 3 to 5 7 


The configurations of the VLAN will be deleted. Continue?[Y/N]:y 


Info: This operation may take a few seconds. Please wait for a moment...done. 


S2]undo 








步骤 三 . 





步骤 四 . 


S3]undo 


S4]undo 





S2]interface GigabitEthernet 0/0/3 
S2-GigabitEthernet0/0/3]undo port default vlan 


S2-GigabitEthernet0/0/3]quit 


ospf 1 





interface Vlanif 1 


interface Vlanif 1 


J R1, R2 和 R3 的 串 行 接口 配置 IP 地 址 


R1]interface Serial 1/0/0 


Rl1-Seriall/0/0]ip address 10.0.12.1 24 


R2]interface Serial 1/0/0 
R2-Seriall/0/0]ip address 10.0.12.2 24 
R2-Seriall/0/0]quit 

R2]interface Serial 2/070 


R2-Serial2/0/0]ip^address 10.0.23.2 24 


R3]interfáce Serial 2/0/0 


R3-Serial2/0/0]ip address 10.0.23.3 24 


在 串 行 接口 上 启用 HDLC 协议 


[R1]interface Serial 1/0/0 


[R1-Seriall1/0/0]link-protocol hdlc 


Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 


[R2]interface Serial 1/0/0 


[R2-Seriall/0/0]link-protocol hdlc 


Warning: 


The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 
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R2-Seriall/0/0]quit 

R2]interface Serial 2/0/0 

R2-Serial2/0/0]link-protocol hdlc 

Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 


R3]interface Serial 2/0/0 





R3-Serial2/0/0]link-protocol hdlc 


Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 


配置 完成 后 ， 碍 看 串 行 接口 的 状态 。 以 R1I 上 的 显示 信息 为 例 。 
[R1]display interface Seriall/0/0 
Seriall/0/0 current state : UP 


Line protocol current state : UP 


Last line protocol up time : 2013-12-10 11:25:08 4 








Description:HUAWEI, AR Series, Seriall/0/0 Interface 

Route Port,The Maximum Transmit Unit is 1500, Hold timer. is 10(sec) 
Internet Address is 10.0.12.1/24 

Link layer protocol is nonstandard HDLC 


Last physical up time 2: 2013-12-10 11:23:55 





Last physical down time : 2013-12-10 11:23:55 
Current system time: 2013-12-10 11:25:46 


Physical layer is synchronous, Baudrate is 64000 bps 





Interface is DCE, Cable type is V24, Clock mode is DCECLK 





Last 300 seconds input rate G.bytes/sec 24 bits/sec 0 packets/sec 





Last 300 seconds output rate 3 bytes/sec 24 bits/sec 0 packets/sec 


Input: 100418 packèts N 1606804 bytes 





Broadcast: 0, Multicast: 0 
Errors: 0, Runts: 0 
Giants: 0, CRC: 0 
Alignments: 0, Overruns: 0 
Dribbles: 0, Aborts: 0 
No Buffers: 0, Frame Error: 0 





Output: 100418 packets, 1606830 bytes 





Total Error: 0, Overruns: 0 
Collisions: 0, Deferred: 0 
No Buffers: 0 





DCD-UP DTR-UP DSR-UP RTS-UP CTS-UP 





Input bandwidth utilization : 0.06% 


Output bandwidth utilization : 0.06% 
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确认 该 接口 的 物理 状态 和 协议 状态 均 已 UP 后 ， 检测 直 连 链 路 的 连通 性 。 
<R2>ping 10.0.12.1 


PING 10.0.12.1: 56 data bytes, press CTRL C to break 





Reply from 10.0.12.1: bytes-56 Sequence-1 ttl1-255 time-44 ms 


Reply from 10.0.12.1: bytes-56 Sequence-2 ttl1-255 time-39 ms 








Reply from 10.0.12.1: bytes-56 Sequence-3 ttl1-255 time-39 ms 


Reply from 10.0.12.1: bytes-56 Sequence-4 ttl1-255 time-40 ms 











Reply from 10.0.12.1: bytes-56 Sequence-5 ttl1-255 time-39 ms 
--- 10.0.12.1 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss K 


round-trip min/avg/max = 39/40/44 ms 


[R2]ping 10.0.23.3 


PING 10.0.23.3: 56 data bytes, press CTRL C to break 





Reply from 10.0.23.3: bytes-56 Sequence-1,ttl1-255 time-44 ms 


Reply from 10.0.23.3: bytes-56 Sequencéz2.ttl-255 time-39 ms 





Reply from 10.0.23.3: bytes-56 Sequence-3 ttl1-255 time-39 ms 


Reply from 10.0.23.3: bytes-56 Sequence-4 tt1-255 time-40 ms 








Reply from 10.0.23.3: byte$-56 Sequence-5 ttl1-255 time-39 ms 





--- 10.0.23.3 ping statisties --- 


5 packet(s) transmitted 





5 packet (s) received 
0.00$ packet loss 


round-trip. min/avg/max = 39/40/44 ms 


步骤 五 . 配置 RIPv2 


在 三 台 路 由 器 上 都 局 用 RIPv2 路 由 协议 ， 并 发 布 各 自 的 直 连 路 由 。 
R1]rip 
Ri-rip-1]version 2 


R1i-rip-1]network 10.0.0.0 


R2]rip 


R2-rip-1]version 2 








R2-rip-1]network 10.0.0.0 
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[R3] rip 
[R3-rip-1]version 2 


[R3-rip-1]network 10.0.0.0 


配置 完成 后 ， 检 查 设 备 是 否 通过 RIPv2 协 议 学 习 到 了 相应 的 路 由 。 


<R1>dqisplay ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 


Destinations : 8 Routes : 8 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.12.0/24 Direct 0 0 D 10.0.12.1 Seriati/0/0 
10.0.12.1/32 Direct 0 0 D 127.0.0.1 S53:1311/0/0 
10.0.12.255/32 Direct 0 0 D 127.0.0.1 Seriall/0/0 
11050,2302 RING WOO DAMES OREI PA Seriall/0/0 
127.0.0.0/8 Direct 0 0 D 124.0WNp.* InLoopBack0 
127.0.0.1/32 Direct 0 0 D ,1$79.0.1 InLoopBack0 

127.255.255.255/32 Direct 0 0 D/W27.0.0.1 InLoopBack0 

255.255.255.255/32 Direct O0 0 EC 1272305021 InLoopBack0 











确认 相应 的 路 由 信息 都 已 通过 RIPv2 协 议 学 习 到 。 
在 R1 上 ， 执行 ping 命 令 ， 检 测 R1 和 R3 间 的 连通 性 。 


<R1>ping 10.0.23.3 
PING 10.0.23%s3:\56 data bytes, press CTRL C to break 


Reply from 10.0.23.3: bytes-56 Sequence-1 ttl1-254 time-44 ms 








Réplý\ from 10.0.23.3: bytes-56 Sequence-2 ttl-254 time-39 ms 


Reply from 10.0.23.3: bytes-56 Sequence-3 ttl1-254 time-39 ms 








Reply from 10.0.23.3: bytes-56 Sequence-4 ttl1-254 time-40 ms 








Reply from 10.0.23.3: bytes-56 Sequence-5 ttl-254 time-39 ms 





sam q10:40.23:3 prng statvwvstics ee 


5 packet(s) transmitted 





5 packet(s) received 
0.00% packet loss 


round-trip min/avg/max = 39/40/44 ms 
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步骤 六 .管理 串口 连接 


查看 串 行 接口 连接 的 线 统 的 类 型 、 接 口 状态 和 时 钟 频 率 ， 并 修改 时 钟 频率 。 
«Rl»display interface Seriall/0/0 
Seriall/0/0 current state : UP 
Line protocol current state : UP 


Last line protocol up time : 2013-12-10 11:25:08 








Description:HUAWEI, AR Series, Seriall/0/0 Interface 

Route Port,The Maximum Transmit Unit is 1500, Hold timer is 10(sec) 
Internet Address is 10.0.12.1/24 

Link layer protocol is nonstandard HDLC 


Last physical up time : 2013-12-10 11:23:55 





Last physical down time : 2013-12-10 11:23:55 
Current system time: 2013-12-10 11:51:12 


Physical layer is synchronous, Baudrate is 64000 bps 





Interface is DCE, Cable type is V24, Clock mode is BGCECLK 


Last 300 seconds input rate 6 bytes/sec 48 bits/Sec 0 packets/sec 





Last 300 seconds output rate 4 bytes/sec 32 bits/sec 0 packets/sec 


„output omitted... 


回 显 信息 表明 R1 的 S1/0/0 接 口 连接 的 是 DCE 线 缆 ,时 钟 频率 
DCE 设 备 可 以 控制 时 钟 频 率 和 人 带宽 。 


将 R1 和 R2 间 链 路 的 时 钟 频率 修改 为 128000bit/s。 这 一 操作 需 在 DCE 设 备 
Rl 上 执行 。 


[R1]interface Serial 1/0/0 


^ 


是 64000bit/s。 


[R1-Seriali1/0/0]baudrate 128000 


配置 完成 后 ， 查 看 串 行 接口 的 状态 确认 时 钟 频率 已 修改 。 
«Rl»display interface Seriall/0/0 
Seriall/0/0 current state : UP 
Line protocol current state : UP 


Last line protocol up time : 2013-12-10 11:25:08 








Description:HUAWEI, AR Series, Seriall/0/0 Interface 
Route Port,The Maximum Transmit Unit is 1500, Hold timer is 10(sec) 
Internet Address is 10.0.12.1/24 


Link layer protocol is nonstandard HDLC 





Last physical up time : 2013-12-10 11:23:55 
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Last physical down time : 2013-12-10 11:23:55 
Current system time: 2013-12-10 11:54:19 


Physical layer is synchronous, Baudrate is 128000 bps 





Interface is DCE, Cable type is V24, Clock mode is DCECLK 








.output omitted... 


步骤 七 ， 修改 品行 接口 的 封装 类 型 为 PPP 


DD A a ii 链 路 两 端 


同 的 封装 类 型 ， 否 则 接口 状态 会 出 现 “Down” 的 情况 。 
Rl]interface Serial 1/0/0 

R1-Seriall/0/0]link-protocol ppp 

Warning: The encapsulation protocol of the link will be changed. 
R2]interface Serial 1/0/0 

R2-Seriall/0/0]link-protocol ppp 

Warning: The encapsulation protocol of the link witl be changed. 
R2-Seriall/0/0]quit 


R2]interface Serial 2/0/0 





R2-Serial2/0/0]link-protocol ppp 
Warning: The encapsulation protocol of the link will be changed. 


R3]interface Serial 2/0/0 





R3-Serial2/0/0]1link-protocol ppp 


Warning: The encapsulation protocol of the link will be changed. 


配置 完成 后 , 检测 链 路 连通 性 。 


<R2>P\ngN10.0.12.1 


PING 10.0.12.1: 56 data bytes, press CTRL C to break 





Reply from 10.0.12.1: bytes-56 Sequence-1 tt1-255 time-22 


Reply from 10.0.12.1: bytes-56 Sequence-2 tt1-255 time-27 








Reply from 10.0.12.1: bytes-56 Sequence-3 tt1-255 time-27 


Reply from 10.0.12.1: bytes-56 Sequence-4 tt1-255 time-27 














Reply from 10.0.12.1: bytes-56 Sequence-5 tt1-255 time-27 
= 10.0.12:1 ping statistics =e 


5 packet(s) transmitted 





5 packet(s) received 


0.00$ packet loss 


Last 300 seconds input rate 6 bytes/sec 48 bits/sec 0 packets/sec 


Last 300 seconds output rate 4 bytes/sec 32 bits/sec 0 packets/sec 


必须 配置 相 


Gontinue? [Y/N]:y 


Continue? [Y/N]:y 


Continue? [Y/N]:y 


Continue? [Y/N]:y 


ms 


ms 


ms 
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round-trip min/avg/max = 22/26/27 ms 


XR2»ping 10.0.23.3 
PING 10.0.23.3: 56 data bytes, press CTRL C to break 


Reply from 10.0.23.3: bytes-56 Sequence-1 ttl1-2255 time-35 ms 








Reply from 10.0.23.3: bytes-56 Sequence-2 ttl1-255 time-40 ms 


Reply from 10.0.23.3: bytes-56 Sequence-3 ttl1-255 time-40 ms 








Reply from 10.0.23.3: bytes-56 Sequence-4 ttl1-255 time-40 ms 





Reply from 10.0.23.3: bytes-56 Sequence-5 ttl-2255 time-40 ms 





--- 10.0.23.3 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 35/39/40 ms 


如 果 无 法 Ping 通 ， 请 查看 接口 状态 ， 观 察 协 议 状 态 是 否 正常 。 
«Rl»display interface Seriall/0/0 
Seriall/0/0 current state : UP 


Line protocol current state : UP 


Last line protocol up time : 2013-12-10 12:35:41 








Description:HUAWEI, AR Series, Seriall/0/0 Interface 

Route Port,The Maximum Transmit Unit is 1500, Hold timer is 10(sec) 
Internet Address is 10.0:12.1/24 

Link layer protocolA4is ENEE 

LCP opened, IPCP opened 


Last physical up time s 2013-12-10 11:57:20 





Last physical.down time : 2013-12-10 11:57:19 
Current System time: 2013-12-10 13:38:03 


Physical layer is synchronous, Baudrate is 128000 bps 





Interface is DCE, Cable type is V24, Clock mode is DCECLK 





Last 300 seconds input rate 7 bytes/sec 56 bits/sec 0 packets/sec 





Last 300 seconds output rate 4 bytes/sec 32 bits/sec 0 packets/sec 


..0Output omitted... 


步骤 八 . 检查 路 由 表 项 的 变化 


PPP 配 置 完 成 后 ， 路 由 器 之 间 会 建立 数据 链 路 层 的 连接 。 本 地 路 由 器 会 向 远 
端 路 由 器 发 送 一 era 路 由 信息 中 包含 本 地 接口 的 IP 地 址 ， 掩 码 为 32 位 。 
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以 R2 为 例 ， 可 以 查看 到 R1 和 R3 发 送 的 主机 路 由 。 


[R2]display ip routing-table 
Route Flags: R - relay, D - download to fib 


Routing Tables: Public 











Destinations : 12 Routes : 12 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.12.0/24 Direct 0 0 D 10.0.12.2 Seriall/0/0 
3.0). (0).2:112 5 31/ S2 Direct 0 0 D 19.0532: 1 Seriall/0/0 
10.0.12.2/32 Direct 0 0 D 127.0.0.1 Seriall/0/0 
10.0.12.255/32 Direct 0 0 D 12750.0.1 Seriall/0/0 
10.0.23.0/24 Direct 0 0 D 10.0.23.2 Serial2/0/0 
10.0.23.2/32 Direct 0 0 D 125,070 4T Serial2/0/0 
11000023537 92 Direct O 0 D TOMOS IONS Serial2/0/0 
10.0.23.255/32 Direct 0 0 D 127.0.0.1 Serial2/0/0 
127.0.0.0/8 Direct 0 0 D 127.0. 9N InLoopBack0 
127.050.1/32 Direct 0 0 D 127.X. 0.4 InLoopBack0 

127.255.255.255/32 Direct 0 0 D L29* 0.0.1 InLoopBack0 

255.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBackO0 


可 以 看 出 ， 路 由 表 中 已 经 包含 通 往 R1 和 R3 的 路 由 。 回 顾 下 这 两 条 路 由 的 由 
来 和 功能 ， 回 答 下 面 两 个 问题 : 


如 果 配 置 的 是 HDLC 封 装 ， 路 由 表 中 还 会 有 这 两 条 路 由 吗 ? 


如 果 R1 和 R2 上 的 S1/O/0 接 口 IP 地 址 不 在 同一 网 段 ， 它 们 之 间 还 能 够 通过 
HDLC 或 PPP 实 现 通 信 吗 ? 


步骤 九 :、 在 R1 和 R2 间 的 PPP 链 路 启用 PAP 认证 功能 。 


配置 PAP 认 证 功能 ， 并 将 R1 配 置 为 PAP 认 证 方 。 
Rl]interface Serial 1/0/0 
R1-Seriall/0/0]ppp authentication-mode pap 
R1-Seriall/0/0]quit 
Rl]aaa 
R1-aaa]local-user huawei password cipher huawei 


info: A new user added 








Rl-aaa]local-user huawei service-type ppp 
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将 R2 配 置 为 PAP 被 认证 方 。 
[R2]interface Serial 1/0/0 


[R2-Seriall/0/0]ppp pap local-user huawei password cipher huawei 


配置 完成 后 ， 检 测 R1 和 R2 间 的 连通 性 ， 并 可 以 通过 debug 功 能 观察 PAP 认 


证 报 文 的 交互 。 

«R1»debugging ppp pap packet 
«XRl»5terminal debugging 

«R1»display debugging 

PPP PAP packets debugging switch is on 
XRl»5system-view 

[Rl]interface Serial 1/0/0 
[R1-Seriall/0/0]shutdown 


[R1-Seriall/0/0]undo shutdown 


Dec 10 2013 14:44:22.440.1-400:00 R1 PPP/7/debug2: 
PPP Packet: 
Seriall/0/0 Input PAP(c023) Pkt, Len 22 


State ServerListen, code Request(01)y;. id 1, len 18 





Host Len: 6 Name:huawei 
[R1-Seriall1/0/0] 
Dec 10 2013 14:44:22.440.2t100:00 R1 PPP/7/debug2: 
PPP Packet: 
Seriall/0/0 Output PAP(c023) Pkt, Len 52 


State WaitAAA, code Ack(02), id 1, len 48 





Msg Len: 43 Msg:Welcome to use Quidway ROUTER, Huawei Tech. 


[R1-Seriall/0/0]return 
«Rl»undo debugging all 


Info: All possible debugging has been turned off 


步骤 十 . 在 R2 和 R3 间 的 PPP 链 路 启用 CHAP 认证 功能 


将 R3 配 置 为 CHAP 的 认证 方 。 
[R3]interface Serial 2/0/0 
[R3-Serial2/0/0]ppp authentication-mode chap 


[R3-Serial2/0/0]quit 
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R3]aaa 
R3-aaa]local-user huawei password cipher huawei 


info: A new user added 





R3-aaa]local-user huawei service-type ppp 
R3-aaa]quit 
R3]interface Serial 2/0/0 


R3-Serial2/0/0]shutdown 





R3-Serial2/0/0]undo shutdown 


注意 ， 此 时 R3 上 会 有 如 下 提示 : 


Dec 10 2013 15:06:00+00:00 R3 $$01PPP/4/PEERNOCHAP(1)[5]:On the interface 
Serial2/0/0, authentication failed and PPP link was closed because CHAP was 
disabled on the peer. 








$ 








[R3-Serial2/0/0] f, 

` 
Dec 10 2013 15:06:00+00:00 R3 $$01PPP/A4/RESULTERR(1)[6]:On thé. interface 
Serial2/0/0, LCP negotiation failed because the result cannot bé accepted. 

















回 显 信息 中 灰色 阴影 标注 的 部 分 表明 与 对 端 认证 时 失败 。 
将 R2 配 置 为 CHAP 的 被 认证 方 。 


[R2]interface Serial 2/0/0 
[R2-Serial2/0/0]ppp chap user huawei 


[R2-Serial2/0/0]ppp chap password cipher huawei 


配置 完成 后 ， 接 口 变 为 Up 状态 。 执 行 ping 命 令 测 试 连通 性 。 
XR2»ping 10.0.23.3 


PING 10.0.23Z3\ 56 «data bytes, press CTRL C to break 





Reply from 10:.0.23.3: bytes-56 Sequence-1 ttl1-255 time-35 ms 





Reply from 10.0.23.3: bytes-56 Sequence-2 ttl1-255 time-41 ms 


Reply-from 10.0.23.3: bytes-56 Sequence-3 ttl1-255 time-41 ms 








Reply from 10.0.23.3: bytes-56 Sequence-4 ttl1-255 time-41 ms 





Reply from 10.0.23.3: bytes-56 Sequence-5 ttl1-255 time-41 ms 





Se b0.0.23.9 ping statrstics === 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 35/39/41 ms 
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步骤 十 一 . 使 用 debug 命令 查看 R2 和 R3 之 间 使 用 CHAP 建 立 PPP 


连接 的 协商 过 程 


查看 R2 与 R3 建 了 PPP 连接 时 的 协商 情况 ， 为 了 看 到 完整 的 协商 过 程 ， 需 


先天 闭 R2 的 S2/0/0 接 口 ， 然 后 启动 debug 命 令 ， 再 打开 接口 ， 即 可 看 到 


商 过 程 。 
首先 关闭 R2 的 物理 接口 。 


[R2]interface Serial 2/0/0 


[R2-Serial2/0/0]shutdown 


完整 协 


执行 debugging ppp chap all 和 terminal debugging 命 令 ,查看 debug 


言 息 。 

[R2-Serial2/0/0]return 

«R2»debugging ppp chap all 

«XR2»terminal debugging 

Info: Current terminal debugging is on. 
«R2»display debugging 

PPP CHAP packets debugging switch is on 
PPP CHAP events debugging switch is on 

PPP CHAP errors debugging switch is on 


PPP CHAP state change debugging switch is on 


打开 R2 的 物理 接口 ， 发 起 认证 。 


<R2>system-viéw 








Enter system.view, return user view with CtrlL+2 . 
[R2]interfacé Serial 2/0/0 


[LR2-Seriál2/0/0]undo shutdown 


此 时 可 以 看 到 相应 的 debug 信 息 输 出 如 下 : 
Dec 10 2013 09:10:38.700.1400:00 R2 PPP/7/debug2: 
PPP State Change: 
Serial2/0/0 CHAP : Initial --» ListenChallenge 
[R2-Serial2/0/0] 
Dec 10 2013 09:10:38.710.1400:00 R2 PPP/7/debug2: 
PPP Packet: 


Serial2/0/0 Input CHAP(c223) Pkt, Len 25 
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State ListenChallenge, code Challenge(01), id 1, len 21 





Value Size: 16 Value: fc 9b 56 el 53 e3 a6 26 lb 54 e5 e2 al ed 90 87 
Name: 

[R2-Serial2/0/0] 

Dec 10 2013 09:10:38.710.2400:00 R2 PPP/7/debug2: 


PPP Event: 





Serial2/0/0 CHAP Receive Challenge Event 








state ListenChalleng 





[R2-Serial2/0/0] 
Dec 10 2013 09:10:38.710.3400:00 R2 PPP/7/debug2: 
PPP Packet: 


Serial2/0/0 Output CHAP(c223) Pkt, Len 31 





State ListenChallenge, code Response(02), id 1, len 27 ¢ 
Value Size: 16 Value: f9 54 1 69 30 59 a0 af 52 al 1d de 8577 27 6b 
Name: huawei 

[R2-Serial2/0/0] 

Dec 10 2013 09:10:38.710.4400:00 R2 PPP/7/debug2: 

PPP State Change: 

Serial2/0/0 CHAP : ListenChallenge --»-S8endResponse 

[R2-Serial2/0/0] 

Dec 10 2013 09:10:38.720.1400:00 R2 PPP/7/debug2: 


PPP Packet: 


Serial2/0/0 Input CHAÉ(c223) Pkt, Len 20 





State SendResponseé, Gode SUCCESS(03), id 1, len 16 


Message: Welcome.to 





[R2-Serial2/070] 
Dec 10 2013 09:10:38.720.2400:00 R2 PPP/7/debug2: 


PPPéEvent: 











Serial2/0/0 CHAP Receive Success Event 


State SendRespons 





[R2-Serial2/0/0] 
Dec 10 2013 09:10:38.720.3400:00 R2 PPP/7/debug2: 
PPP State Change: 


Serial2/0/0 CHAP : SendResponse --» ClientSuccess 


回 显 信息 中 灰色 阴影 标注 的 部 分 显示 了 协商 状态 的 变化 和 发 送 的 信息 。 
EE duit 


[R2-Serial2/0/0]return 
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«XR2»undo debugging all 


Info: All possible debugging has been turned off 


附加 练习 : 分 析 并 验证 
为 什么 PPP 中 CHAP 认 证 比 PAP 认 证 的 安全 性 更 高 ? 


配置 文件 


Rl]display current-configuration 


V200R003C00SPC200] 


sysname R1 








aaa 

authentication-scheme default 
authorization-scheme default 
accounting-scheme default 
domain default 


domain default admin 





local-user admin password cipher $$$S$2i-»Xp&aYt*2cEVCS-A23Uwe£2S$$$ 
local-user admin service-type http 

local-user huawei password cipher $$$2$B:$I)IOo0H8) [S$SB[idM3C/!4$5$2$ 
local-user huawei service-type ppp 

# 

interface Serial1/0/0 

link-protocol ppp 

ppp authentication-mode pap 

ip address 10.0.12.1 255.255.255.0 

baudrate 128000 

# 

rip 1 

version 2 

network 10.0.0.0 

# 

user-interface con 0 

authentication-mode password 


set authentication password 
cipher %$%$daD#}P<HzJ;Xs%X>hOkm!, .+Iq61QK`K6tI}cc-;k_o`C.+L,%$3%$ 
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user-interface vty 0 4 
# 


return 


R2]display current-configuration 


V200R003C00SPC200] 


Sysname R2 








interface Seriall/0/0 

link-protocol ppp 

ppp pap local-user huawei password cipher £2$$$u[hr6d«JVHRQ-»2T7xrl«S$.iv$$$$ 
ip address 10.0.12.2 255.255.255.0 
# 

interface Serial2/0/0 

link-protocol ppp 


ppp chap user huawei 





ppp chap password cipher $$$$e(5h)gh"/UzOmUCSyEx3$4«m$$$£$ 
ip address 10.0.23.2 255.255.255.0 

# 

rip 1 

version 2 

network 10.0.0.0 

# 

user-interface con.0 

authenticatión-mode password 


set authéntication password 
cipher,$$2$|nRPL^hr2IXi7LHDID!/,.*$.82h;3:,hXO2dkfikaWI.*(,$$£2$ 


user-interface vty 0 4 
# 


heturn 


R3]display current-configuration 


V200R003C00SPC200] 


sysname R3 








aaa 


authentication-scheme default 
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authorization-scheme default 
accounting-scheme default 
domain default 


domain default admin 


local-user admin password cipher $$$$-i-»Xp&aY-t*2cEVcS-A23Uwe£S$$$ 


local-user admin service-type http 





local-user huawei password cipher $$£$5$fZsyUk1-2O-»:L4'ytgR-D*Im$$£$ 





local-user huawei service-type ppp 
# 

interface Serial2/0/0 

link-protocol ppp 

ppp authentication-mode chap 

ip address 10.0.23.3 255.255.255.0 
# 

rip 1 

version 2 

network 10.0.0.0 

# 

user-interface con 0 
authentication-mode password 


set authentication password 


cipher $$2$W|$)M5D)vG8bY^gKN; »QR, . *d; 8Mp» | FEU, :~D~8b59~.. 





user-interface vty 0 4 
# 


Return 


sS 
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实验 2-2 帧 中 继 配 置 
学 习 目标 


。 掌握 用 户 边缘 设备 ( CE) 上 帧 中 继 接 口 的 配置 方法 
。 掌握 Hub-Spoke 网 络 中 RIP 的 配置 方法 
。 ”掌握 Hub-Spoke ( NBMA ) 网 络 中 OSPF 的 配置 方法 


。 ”掌握 点 到 多 点 网 络 中 OSPF 的 配置 方法 


拓扑 图 


10.0.123.0/24 


.1 
心 >> S2/0/0 
w M Zl 


gle n 
R 102 T 






2 
S3/0/0 





LoopbackO 
10.0.3.3/24 


10.0.2.2/24 
2.2 帧 中 继 配置 实验 拓扑 图 
场景 
企业 的 总 部 和 部 分 分 支 之 间 仍 使 用 帧 中 继 网 络 互 连 ,作为 企业 的 网 络 管理 员 ， 


您 需要 在 总 部 和 分 支 的 边缘 路 由 器 上 配置 帧 中 继 功 能 ， 并 配置 本 地 DLCISIP 地 
址 间 的 映射 。 
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操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


<Huawei>system-view 





Enter system view, return user view with Ctrl+zZ. 





Huawei]sysname R1 


«XHuawei»system-view 





Enter system view, return user view with CtrlL+2 . 





Huawei]sysname R2 





«Huawei»system-view 





Enter system view, return user view with Ctrl+2. 











Huawei]sysname R3 


步骤 二 . 清除 设备 上 原 有 的 配置 


关闭 三 台 路 由 器 上 HDLC 和 PPP 封 装 的 所 有 的 串 行 接口 。 
Rl]interface Serial 1/0/0 


Rl1-Seriall/0/0]shutdown 


R2]interface Serial 1/0/0 
R2-Seriall1/0/0]shutdown 
R2-Seériall/0/0]interface Serial 2/0/0 


R2-Seria12/0/0]shutdown 


R3]interface Serial 2/0/0 





R3-Serial2/0/0]shutdown 
步骤 三 .配置 帧 中 继 封装 
配置 基本 参数 及 IP 地 址 等 信息 。 手动 指定 本 地 DLCI 与 对 端 IP 地 址 的 映射 天 系 。 


本 任务 中 ,需要 关闭 逆向 地 址 解析 功能 ,并 在 fr map 命 令 中 指定 broadcast 参 数 , 
从 而 使 得 该 映射 上 能 够 发 送 广播 报 文 。 
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R1-Serial2/0/0 


R1-Serial2/0/0 
R1-Serial2/0/0 
R1-Serial2/0/0 
R1-Serial2/0/0 


R1-Serial2/0/0 


R2-Serial3/0/0 


R2-Serial3/0/0 
R2-Serial3/0/0 
R2-Serial3/0/0 


R2-Serial3/0/0 


R3-Seriall/0/0 


R3-Seriall/0/0 
R3-Seriall/0/0 
R3-Seriall/0/0 


R3-Seriall/070 





配置 完成 后 


Rl]interface Serial 2/0/0 


link-protocol fr 


Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 


ip address 10.0.123.1 24 
undo fr inarp 
fr map ip 10.0.123.2 102 broadcast 


fr map ip 10.0.123.3 103 broadcast 





interface loopback 0 


R1-LoopBack0]ip address 10.0.1.1 24 


R2]interface Serial 3/0/0 


link-protocol fr 


Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 


ip address 10.0.123.2 24 N 


undo fr inarp 


fr map ip 10.0.123.1 201 broadcast 





interface loopback 0 


R2-LoopBack0]ip address 10.0.2.2 24 


R3]interface Serial 1/0/0 


link-protocol fr 


Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y 


ip address 10.0.123.3 24 
undo fr inarp 


fr.map ip 10.0.123.1 301 broadcast 





interface loopback 0 


R3-LoopBáck0]ip' address 10.0.3.3 24 


, 检测 网 络 的 连通 性 。 


KR1>Ping 10.0.123.2 


PING 10.0.123. 


Re 


Re 


Re 


Re 


Re 





packet (s) 


ply from 10.0.123. 
ply from 10.0.123. 
ply from 10.0.123. 
ply from 10.0.123. 


ply from 10.0.123. 














2: 56 data bytes, press CTRL C to break 
2: bytes-56 Sequence-1 ttl-255 time-64 ms 
2: bytes-56 Sequence-2 ttl1-255 time-59 ms 
2: bytes-56 Sequence-3 ttl1-255 time-59 ms 
2: bytes-56 Sequence-4 ttl1-255 time-59 ms 
2: bytes-56 Sequence-5 ttl1-255 time-59 ms 








10.0.123.2 ping statistics --- 


transmitted 
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5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 59/60/64 ms 


«Rl»ping 10.0.123.3 
PING 10.0.123.3: 56 data bytes, press CTRL C to break 


Reply from 10.0.123.3: bytes-56 Sequence-1 ttl1-255 time-64 ms 








Reply from 10.0.123.3: bytes-56 Sequence-2 ttl1-255 time-59 ms 


Reply from 10.0.123.3: bytes-56 Sequence-3 ttl1-255 time-59 ms 








Reply from 10.0.123.3: bytes-56 Sequence-4 ttl1-255 time-59 ms 





Reply from 10.0.123.3: bytes-56 Sequence-5 ttl1-255 time-59 ms 





--- 10.0.123.3 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 59/60/64 ms 


查看 R1 接 口 的 帧 中 继 封 装 信息 。 


«Rl»display fr interface Serial 2/0/0 





Serial2/0/0, DTE, physical up, protocol up 


«Rl»display fr lmi-info interface Serial 2/0/0 


E 





Frame relay LMI statisties for interface Serial2/0/0 (DTE, Q933) 


T391DTI 


E 
| 


= 10 (hold timer 10) 





Tj 


N391DTE = 6, N392DTE.- 3, N393DTE = 4 








out status enguiry = 180, in status - 178 


Status timeout = 0, discarded messages = 0 


«XRl»display fr map-info interface Serial 2/0/0 


Map Statistics for interface Serial2/0/0 (DT 





EH 


Dex c X02. 89 10,0.1292.2. GSeseuedi2/0/0 


create time = 2011/11/16 09:28:49, status - ACTIVE 





encapsulation = ietf, vlink = 1, broadcast 


DUCE Ton 





create time = 2011/11/16 09:28:56, status = ACTIVE 


encapsulation = ietf, vlink = 2, broadcast 
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步骤 四 . 在 RL、R2 和 R3 间 配 置 RIPv2 协议 


在 R1、R2 和 R3 上 配置 RIPv2 协 议 。 如 果 您 是 在 完成 HDLC/PPP 实 验 后 的 基 
础 上 继续 配置 的 本 实验 ， 则 网 段 10.0.0.0 已 经 在 RIP 网 络 中 宣告 。 在 本 任务 中 需 
要 关闭 自动 汇聚 功能 。 

同时 需要 注意 的 是 ， 由 于 帧 中 继 网 络 的 特殊 性 ， 默 认 情况 下 ， 帧 中 继 接口 下 
RIP 的 水 平分 割 功能 被 关闭 。 在 本 实验 中 ， 不 对 其 进行 修改 。 

Rl]rip 1 
Rl-rip-1]version 2 
Rl-rip-1]network 10.0.0.0 


Rl-rip-1]undo summary 


R2]rip 1 
R2-rip-1]version 2 
R2-rip-1]network 10.0.0.0 


R2-rip-1]undo summary 


R3]rip 1 
R3-rip-1]version 2 


R3-rip-1]network 10.0.0.0 








R3-rip-1]undo summary 


在 R1、R2 和 R3 的 路 由 表 中 查看 已 经 学 习 到 的 路 由 。 


<R1>dqisplay ip routing-table protocol rip 
Route Flags: R - relay, D - download to fib 
Public routing table : RIP 

Destinations : 2 Routes : 2 


RIPefouting table status : «Active» 


Destinations : 2 Routes : 2 
Destination/Mask Proto Pre Cost Flags NextHop Interface 
TORTOR 100 1 D 2420.0.1292.2 Serial2/0/0 
OBEN RIB 30 3 D. 24205:05:129.3 Serial2/0/0 


RIP routing table status : «Inactive» 


Destinations : 0 Routes : 0 


<R2>display ip routing-table protocol rip 
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Route Flags: R - relay, D - download 


Public routing table 
Destinations : 2 Routes : 2 
RIP routing table status XActive» 


Destinations : 2 Routes : 2 
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Destination/Mask Proto Pre Cost Flags NextHop Interface 
ORORO ARTE KOO 3i D  20.0.129.1 Serial3/0/0 
1(0)5(0),5)5 (07/221. Terme 100 2 D 2105.05.1295.1 Serial3/0/0 
RIP routing table status «Inactive» 
Destinations : 0 Routes : 0 
[R3]display ip routing-table protocol rip , 
Route Flags: R - relay, D - download to fib N 
Public routing table RIP 
Destinations : 2 Routes : 2 
RIP routing table status «Active» 
Destinations : 2 Routes : 2 
Destination/Mask Proto Pre Cost Flàgs NextHop Interface 
1(0.,0)51L 50/722. igne 100 1 DINERS Seriall/0/0 
OTO 2 0/24 RIE LOO 2 , J 0 2 Seriall/0/0 
RIP routing table status «Inactive» 
Destinations : Q Routes : 0 
在 R3 上 以 环 回 接口 IP 地 址 为 源 地 址 测试 网 络 连 通 性 。 
[R3]ping œ 10.0.3.3 10.0.1.1 
PING.10.0.1.1: 56 data bytes, press CTRL C to break 
Reply from 10.0.1.1: bytes-56 Sequence-1 ttl1-255 time-68 ms 
Reply from 10.0.1.1: bytes-56 Sequence-2 ttl-2255 time-63 ms 
Reply from 10.0.1.1: bytes-56 Sequence-3 ttl-255 time-63 ms 
Reply from 10.0.1.1: bytes-56 Sequence-4 ttl-2255 time-63 ms 
Reply from 10.0.1.1: bytes-56 Sequence-5 ttl-2255 time-63 ms 





10.0.1.1 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 63/64/68 ms 
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«R3»ping -a 10.0.3.3 10.0.2.2 
PING 10.0.2.2: 56 data bytes, press CTRL C to break 


Reply from 10.0.2.2: bytes-56 Sequence-1 ttl1-254 time-101 ms 





Reply from 10.0.2.2: bytes-56 Sequence-2 ttl1-2254 time-110 ms 








Reply from 10.0.2.2: bytes-56 Sequence-3 ttl1-254 time-101 ms 


Reply from 10.0.2.2: bytes-56 Sequence- 


A 


ttl=254 time=101 ms 














Reply from 10.0.2.2: bytes=56 Sequence-5 ttl1-254 time=101 ms 
--- 10.0.2.2 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 101/102/110 ms 


测试 如 果 在 R3 上 以 物理 接口 S2/0/0 ( 10.0.123.3 ) 为 源 地 址 发 送 的 报 文 ， 
能 否 转 发 到 R2 的 网 段 10.0.2.2 上 。 
[R3]ping 10.0.2.2 
PING 10.0.2.2: 56 data bytes, press CTRL C tó break 
Request time out 
Request time out 
Request time out 


Request time out 





Request time out 

--- 10.0.2.2 ping statistics --- 
5 packet(s) transmitted 
0 packet (s). received 


100.00% packet loss 


FRNA RRA , 当 串 行 接口 为 源 接口 时 ,R3 无 法 与 R2 通 信 ( 反之 亦 然 ) 
过 如 下 步骤 找 出 R3 无 法 与 R2 通 信 的 原因 : 


1， 在 R3 的 路 由 表 中 查找 是 否 人 存在 通 往 10.0.2.2 地 址 的 相关 路 由 条 目 


2. 如 果 存 在 通 往 10.0.2.2 地 址 的 相关 路 由 条 目 ， 查 看 下 一 跳 I1P 地 址 。 然 后 ， 
检测 R3 发 送 的 报 文 能 否 到 达 该 下 一 跳 ,并 检测 三 层 IP 地 址 是 否 有 与 二 层 PVC 
的 正确 映射 。 


3. 如 果 R3 发 送 的 报 文 能 够 到 达 该 下 一 跳 ， 而 且 三 层 IP 地 址 已 经 与 二 层 PVC 
有 正确 映射 ， M TU ei 大 路 由 ， 该 路 由 的 
下 一 跳 是 否 可 达 ， 三 层 IP 地 址 是 否 与 二 层 PVC 正 确 映 射 。 
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没有 问题 ， 再 查看 目标 设备 ， 甬 往 回应 
SDLEMIPAE n AE 路 由 的 下 一 跳 是 否 可 


5. 如 果 路 由 的 下 一 跳 不 可 达 PNG 10.0.123.3 ) 
的 相关 路 由 条 目 ， 则 表明 R2 上 虽然 有 通 往 该 地 址 的 路 由 ， 但 是 没有 三 层 IP 地 
址 与 二 层 PVC 的 正确 映射 。 


程 的 命令 


pe m EAT : 


«R3»display ip routing-table 


Route Flags: 


R - relay, D 


- download to fib 


Routing Tables: 


Public 


Destinations : 13 


Routes : 13 





Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 RIP 100 1 D. d0.0.123.1 Sexid1/0/0 
11050152 0/22 RINE NGO D KOOPT FA $eriall/0/0 
10.0.3.0/24 Direct 0 0 D 1:0.705:9::9 LoopBack0 
10.0.3.3/32 Direct 0 0 D 127.0,0.* InLoopBack0 
10.0.3.255/32 Direct 0 0 D 1247.040.1 InLoopBackO0 
10.0.123.0/24 Direct 0 0 D MD.0.123.3 Seriall/0/0 
10.0.123.1/32 Direct 0 0 D 10::0.12341 Seriall/0/0 
10.0.123.3/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
10.0.123.255/32 Direct 0 0 D 12500. InLoopBack0 
127.0.0.0/8 Direct Q 0 D 127.0.0.1 InLoopBack0 
127:0:70:31/532 Direct. 0 0 D 127.0.0.1 InLoopBack0 

127.255.255.255/32,^"Birect 0 0 D I25:0:20 1 InLoopBack0 

255.255.255.2557432 "Direct 0 0 D 127.0.0.1 InLoopBack0 








«R3»display. fr map-info interface Serial 1/0/0 


Map Statistics for interface Seriall/0/0 (DTE) 





UNEENUM, HENEEENUNPENÜS, sSeriali/0/O 


create time = 2011/11/16 09:22:30, status = ACTIVE 





encapsulation = ietf, vlink = 1, broadcast 


XRl»display ip routing-table 


Route Flags: R - relay, D - download to fib 











Routing Tables: Public 


Destinations : 14 Routes : 14 
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Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 Direct 0 0 D 10:20.1;1 LoopBackO0 
10.0.1.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
10.0.1.255/32 Direct “0 0 D T2307: InLoopBack0 
OR OR 2 O07 2 RHR 100 1 D 149 2005329 2 Serial2/0/0 
10.0.3.0/24 RIP 100 1 D 10.0.123.3 Serial2/0/0 
10.0.123.0/24 Direct 0 0 D 10.0.123.1 Serial2/0/0 
10.0.123.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
10.0.123.2/32 Direct 0 0 D 10520512342 Serial2/0/0 
10.0.123.3/32 Direct 0 0 D 10.:0.123.3 Serial2/0/0 
10.0.123.255/32 Direct 0 0 D 1274020. InLoopBack0 
127.0.0.0/8 Direct 0 0 D 127304.0L InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 

1272553255255732 (-Dbrect-.0 0 D 127.0.0.1 InLoópBack0 

255.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 

«Rl»display fr map-info interface Serial 2/0/0 

Map Statistics for interface Serial2/0/0 (DTE) 

DLCI —- 102, IP 10.0.123.2, Serial2/0/0 
create time = 2011/11/16 09:28:49, status = ACTIVE 
encapsulation = ietf, vlink = 1, broadcast 

DLCI = 103, IP 10.0.123.3, Serial2/0/0 
create time = 2011/11/16.09:28:56, status = ACTIVE 
encapsulation = ietf, vlink = 2, broadcast 

XR2»display ip. routing-table 

Route Flags:\R -"relay, D - download to fib 

ROuting Tables: Public 

Destinations : 13 Routes : 13 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 RIP 100 1 D  10.0.123.1 Serial3/0/0 
10.0.2.0/24 Direct 0 0 D 10.5052:42 LoopBack0 
10.0.2.2/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
10.0.2.255/32 Direct 0 0 D 127550:01 InLoopBack0 
10.0.3.0/24 RIP 100 2 D  10.0.123.1 Serial3/0/0 
1O02 307/24 Direct 0 0 D 110,01,1023 52 Serial3/0/0 
10.0.123.1/32 Direct 0 0 D 10.0.123.1 Serial3/0/0 
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10.0.123.2/32 Direct 0 0 D 127.0.0.1 
10.0.123.255/32 Direct O0 0 D T2700: 
127.0.0.0/8 Direct 0 0 D 127.0.0.1 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 
127.255.255.255/32 Direct 0 0 D 127.0.0;.1 
255.255.255.255/32 Direct 0 0 D 127520420. 


«R2»display fr map-info interface Serial 3/0/0 


Map Statistics for interface Serial3/0/0 (DTE 





DLCI = 201, IP 10.0.123.1, Serial3/0/0 


create time = 2011/11/16 09:21:10, status = ACTIVE 





encapsulation = ietf, vlink = 1, broadcast 


In 


LOO 


LOO 


LOO 


LOO 


LOO 





LOO 


pBac 


pBac 


pBac 


pBac 


pBac 





pBac 


KO 


KO 


kO 


kO 


kO 





kO 


由 此 可 以 看 出 ,由 于 三 层 IP 地 址 没有 与 二 层 PVC 的 正确 映射 导致 R2 发 送 的 


报 文 无 法 到 达 10.0.123.3。 


步骤 五 .修改 网 络 参 数 ， 开 启 R2 和 R3 之 间 的 连接 


步骤 4 中 的 故障 诊断 结果 表明 ,R2 和 R3 通 信 失 败 是 因为 帧 中 继 接 口 之 间 没 
配置 虚拟 电路 。 要 解决 这 一 问题 ， 需 要 在 R2 和 R3 的 帧 中 继 接 口 之 间 配 置 IP 地 址 


与 PVC 的 映射 关系 。 


R2]interface Serial 3/0/0 


R2-Serial3/0/0]fr map ip 16.03123.3 201 


R3]interface Serial 1/0/0 





R3-Seriall/0/0]fr map ip 10.0.123.2 301 


配置 完 IP 地 址 和 PVC 之 间 的 映射 后 ， 查 看 R2 和 R3 上 的 IP 地 址 与 PVC 映 射 表 


并 检测 网 络 的 连通 性 。 


«R3*5display fr lmi-info inter Serial 1/0/0 


Frame relay LMI statistics for interface Seriall/0/0 (DTI 


T391DTE - 10 (hold timer 10) 











N391DTE = 6, N392DTE = 3, N393DTE = 4 
out status enquiry = 326, in status = 324 


Status timeout = 0, discarded messages = 0 


«R3»display fr map-info interface Serial 1/0/0 





Map Statistics for interface Seriall/0/0 (DTE) 





E, Q933) 
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DECI - 301, IP 10.0.123.1, Seriall/0/0 


create time = 2011/11/16 09:22:30, status = ACTIV 





EH 


encapsulation = ietf, vlink = 1, broadcast 
DONE, mE, Seriall/0/0 


create time = 2011/11/16 09:55:23, status = ACTIVE 





encapsulation = ietf, vlink = 2 


«R3»ping 10.0.2.2 
PING 10.0.2.2: 56 data bytes, press CTRL C to break 


Reply from 10.0.2.2: bytes-56 Sequence-1 ttl-254 time-118 ms 








Reply from 10.0.2.2: bytes-56 Sequence-2 ttl-2254 time-123 ms 


Reply from 10.0.2.2: bytes-56 Sequence-3 ttl1-2254 time-123 ms 








Reply from 10.0.2.2: bytes-56 Sequence-4 ttl-2254 time-123 ms 








Reply from 10.0.2.2: bytes-56 Sequence-5 ttl-254 time-123 ms 





--- 10.0.2.2 ping statistics --- 
5 packet(s) transmitted 


5 packet(s) received 





0.00$ packet loss 


round-trip min/avg/max = 118/122/123 ms 


步骤 六 . 在 R1 和 R2 间 配 置 OSPF 协议 


删除 步骤 2 中 的 RIP 配 置 和 步骤 3 中 在 R2 和 R3 间 建立 的 帧 中 继 映射 。 


[R1]undo rip 1 


Warning: The RIP process will be deleted. Continue?[Y/N]y 


[R2]interfacé Serial 3/0/0 
[R2*Seriál3/0/0]undo fr map ip 10.0.123.3 201 
[R2-Serial3/0/0]quit 

[R2]undo rip 1 


Warning: The RIP process will be deleted. Continue?[Y/N]y 


[R3]interface Serial 1/0/0 
[R3-Seriall/0/0]undo fr map ip 10.0.123.2 301 
[R3-Seriall/0/0]quit 

[R3]undo rip 1 


Warning: The RIP process will be deleted. Continue?[Y/N]y 
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[R3] 


在 R1、R2 和 R3 上 配置 单 区 域 OSPF。 
R1]ospf 1 router-id 10.0.1.1 


R1-ospf-1]area 0 


Rl1-ospf-1-area-0.0.0.0]network 10.0.0.0 0.255.255.255 


R2]ospf 1 router-id 10.0.2.2 
R2-ospf-1]area 0 


R2-ospf-1-area-0.0.0.0]network 10.0.0.0 0.255.255.255 


R3]ospf 1 router-id 10.0.3.3 


R3-ospf-1]area 0 








R3-ospf-1-area-0.0.0.0]network 10.0.0.0 0.255.255.255 


基本 参数 配置 完成 后 ,发现 O9PF 无 法 建立 邻居 邻接 关系 。 原因 是 OSPF 在 帧 
中 继 网 络 中 的 的 网 络 类 型 默认 为 NBMA ， 这 种 情况 下 ,OSPF 不 支持 广播 ， 因 而 
无 法 主动 发 现 邻 居 。 
«R3»display ospf interface Serial 1/0/0 verbose 

OSPF Process 1 with Router ID 10.0.3.3 
Interfaces 

Interface: 10.0.123.3 (Seriail/070) 
Cost: 1562 State: DR Type: NBMA MTU: 1500 
Priority: 1 


Designated Router: .10.0.123.3 








Backup Designated. Router: 0.0.0.0 
Timers: Hello 30 , Dead 120 , Poll 120 , Retransmit 5 , Transmit Delay 1 


IO Statistics 


Type Input Output 
Hello 0 0 
DB Description 0 0 
Link-State Req 0 0 
Link-State Update 0 0 
Link-State Ack 0 0 








OpaqueId: 0 PrevState: Waiting 
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步骤 七 . 配置 NBMA 网 络 


在 NBMA 网 络 中 OSPF 只 能 单 播 友 送 hello 消 息 ,因此 需要 手动 指定 邻居 才能 
转发 hello 消 息 。 此 外 ， 当 R3 是 指定 路 由 器 ( DR ) 时 ， 由 于 R2 不 能 通过 R2 和 R1 
间 的 PVC 与 DR 建立 OSPF 邻 接 关 系 。 这 种 情况 下 ， 只 能 将 R1 配 置 为 DR。 


Rl]ospf 

Rl-ospf-1]peer 10.0.123.2 
Rl-ospf-1]peer 10.0.123.3 
Rl-ospf-l]interface Serial 2/0/0 


R1-Serial2/0/0]ospf dr-priority 255 


R2]ospf 


R2-ospf-1]peer 10.0.123.1 


R3]ospf 








R3-ospf-1]peer 10.0.123.1 


你 还 可 以 将 R2 和 R3 的 DR 优先 级 配置 为 .0， 使 它们 不 参加 DR 选举 。 


«Rl»display ospf interface Serial 2/0/0 verbose 
OSPF Process 1 with Router, ID 10.0.1.1 
Interfaces 
Interface: 10.0.123.1 (Serial2/0/0) 
Costi-1562 State: DN Type: NBMA MTU: 1500 
Renoma 255 


Designated Routex: 10.0.123.1 








Backup Désignated Router: 10.0.123.3 
Timets:.Hello 30 , Dead 120 , Poll 120 , Retransmit 5 , Transmit Delay 1 


IO.Statistics 


Type Input Output 
Hello 32 32 
DB Description 8 29 
Link-State Req 3 2 
Link-State Update 16 30 
Link-State Ack 20 9 





OpaqueId: 0 PrevState: BDR 





Effective cost: 1562, enabled by OSPF Protocol 
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程 ， 然 后 再 次 执行 上 一 条 display 命 令 。 


«Rl»reset ospf process graceful-restart 
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如 果 修 改 优先 级 后 R1 不 是 DR， 执 行 以 下 命令 重启 所 有 路 由 器 上 的 OSPF 进 


查看 路 由 表 ， 确 认 整 个 帧 中 继 网 络 已 经 成 功 运 行 了 OSPF 协 议 。 


XRl»display ip routing-table 


Route Flags: 


R - relay, 


D - download to fib 


Routing Tables: Public 
Destinations 14 Routes 

Destination/Mask Proto Pre Cost 
10.0.1.0/24 Direct 0 0 
10.0.1.1/32 Direct 0 0 
10.0.1.255/32 Direct O0 0 
1101,0052 2/312 OSPF i9 1562 
11050). 3.34 32 OSPF TOME SIG 
10.0.123.0/24 Direct 0 0 
10.0.123.1/32 Direct 0 0 
10.0.123.2/32 Direct 0 0 
10.0.123.3/32 Direct 0 0 
10.0.123.255/32 Direct 0 0 
127.0.0.0/8 Direct , 0 0 


127.0.0.1/32 


127.255.255.255/32 


255.255.255.2554,32 


Direct. 0 0 


Direct 0 0 





Direct 0 0 


测试 网 络 连通 性 。 


XRl2ping.-a 10.0.1.1 10.0.2.2 


PING 10.0.2.2: 56 


Reply 
Reply 
Reply 
Reply 


Reply 


5 packet (s) 





5 packet (s) 


data bytes, pres 


S 


14 


Flags NextHop 


D 


D 


D 


D 





10:0... T 


127.0.0.1 


12 30 0T 


30.5015 15273) 2 


10.0.1€ 2X3 


TQ.0NL23.1 


127.0.0.1 


10:0:123.2 


10.0.123.3 


127.0.0.1 


127.0.0.1 


127.0.0.1 


127.0.0.1 


Y27.:0.0.1 


CTRL C to break 


ttl-255 time-51 








ttl-255 time-60 


ttl-255 time-51 





ttl-255 time-51 








ttl-255 time-60 





from 10.0.2.2: bytes-56 Sequence-1 
from 10.0.2.2: bytes-56 Sequence-2 
from 10.0.2.2: bytes-56 Sequence-3 
from 10.0.2.2: bytes-56 Sequence-4 
from 10.0.2.2: bytes-56 Sequence-5 
10.0.2.2 ping statistics --- 
transmitted 
received 


ms 


ms 


ms 


ms 


ms 


Interface 
LoopBack0 


LooBBackO 
` 





LoopBack0 

Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
InLoopBack0 
InLoopBack0 


InLoopBack0 





InLoopBack0 
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0.00$ packet loss 


round-trip min/avg/max - 51/54/60 ms 


步骤 八 . 将 OSPF 网 络 类 型 配置 为 点 到 多 点 


还 可 以 在 帧 中 继 网 络 上 配置 点 到 多 点 的 OSPF 网 络 类 型 。 首 先 删 除 手动 指定 
邻居 天 系 的 配置 命令 。 


Rl]ospf 
R1-ospf-1]undo peer 10.0.123.2 


R1-ospf-1]undo peer 10.0.123.3 


R2]ospf 


R2-ospf-1]undo peer 10.0.123.1 


R3]ospf 








R3-ospf-1]undo peer 10.0.123.1 


然后 在 接口 试图 下 ， 将 网 络 类 型 修改 为 点 到 多 点 。 
Rl]interface Serial 2/0/0 


R1-Serial2/0/0]ospf network-type p2mp 


R2]interface Serial 3/0/0 


R2-Serial3/0/0]ospf network-type p2mp 


R3]interface Serial 1/0/0 





R3-Seriall/0/0]ospf network-type p2mp 


配置 完成 后 ， 等待 设备 自动 建立 邻居 关系 ， 然 后 查看 邻居 关系 和 路 由 信息 。 
«Rl»display ospf peer brief 
OSPF Process 1 with Router ID 10.0.1.1 


Peer Statistic Information 


Area Id Interface Neighbor id State 
OROMOO Serial2/0/0 119.042. 2 Full 
0-0-00 Serial2/0/0 19/9 3. 3 Full 


XRl»display ip routing-table 
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R - relay, D - download to fib 





Routing Tables: Public 
Destinations 14 Routes : 14 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 Direct 0 0 D 10.0.1.1 LoopBack0 
10.0.1.1/32 Direct 0 0 D I27.0.0.1 LoopBack0 
10.0.1.255/32 Direct “0 0 D 127.0.0.1 LoopBack0 
105052 2/32 OSPF 10 1562 ”100123.2 Serial2/0/0 
[OO 2 OSPF IU MMBUEIG? D 11050123 53 Serial2/0/0 
10.0.123.0/24 Direct 0 0 D 10.0.123.1 Serial2/0/0 
10.0.123.1/32 Direct 0 0 D 127.0.0.1 Serial2/0/0 
10.0.123.2/32 Direct 0 0 D 10.:0212342 Serial2/0/0 
10.0.123.3/32 Direct 0 0 D 10.0.123.3 Serial2/0/0 
10.0.123.255/32 Direct 0 0 D 127.0.0.1 Serial2/0/0 
127.0.0.0/8 Direct 0 0 D TEA oT InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127 4f Nw InLoopBack0 

I127.2555255.2557/32: Direct Q 0 D 127.0.0.1 InLoopBackO0 

255.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 


«R2»display 











ospf peer brief 


OSPF Process 1 with Router ID 10.0.2.2 


Peer Statistic Information 


Area Id 


0.0.0.0 


Interface Neighbor id State 


Seriál3/0/0 1050 5 3E; 3l BUNI 


«R2»display ip routing-table 


Route Flags: 


R - relay, D - download to fib 


Routing Tables: Public 
Destinations 14 Routes : 14 
Destination/Mask Proto Pre Cost Flags NextHop Interface 
1070713132 OSPF i0 1562 D 1070712371 Serial3/0/0 
10.0.2.0/24 Direct 0 0 D 10.0.2.2 LoopBack0 
10.:0:2:2/32 Direct 0 0 D 127.0.0.1 LoopBackO0 
10.0.2.255/32 Direct 0 0 D 127.0.0.1 LoopBack0 
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110) 50); 3 3/32 OSPF 10. 3124 D 10,0:123.1 Serial3/0/0 
10.0.123.0/24 Direct 0 0 D 10:0;123.2 Serial3/0/0 
10.0.123.1/32 Direct 0 0 D t0:0:123.1 Serial3/0/0 
10.0.123.2/32 Direct 0 0 D T2300. Serial3/0/0 
MOROZE OSPF iQ. 33124 D 3) (0.5 112/39) 3 Serial3/0/0 
10.0.123.255/32 Direct 0 0 D 1237.00] Serial3/0/0 
127.0.0.0/8 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 
255.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 











«R3»display ospf peer brief 


OSPF Process 1 with Router ID 10.0.3.3 





Peer Statistic Information & 

Area Id Interface Neighbor id State 

00:0-0 Seriall/0/0 10.0.47. Full 

«R3»display ip routing-table 

Route Flags: R - relay, D - download to fib 

Routing Tables: Public 

Destinations : 14 Routes : 14 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
TO OTIL OSPF 30 i52 D 100212371 Seriall/0/0 
TORO SNO OSPF 10 3124 D 10.012901 Seriall/0/0 
10.0.3.0724 Direct 0 0 D 10:402 3:79 LoopBackO0 
10.023.3/32 Direct 0 0 D 12 7.0::0..-1 LoopBack0 
10.0.3.255/32 Direct 0 0 D 127.0.0.1 LoopBack0 
10.0.123.0/24 Direct 0 0 D 10.50.:123::3 Seriall/0/0 
10.0.123.1/32 Direct 0 0 D 10.0.123.1 Seriall/0/0 
TO OU SRPPVEPEEEVSEN 10 3124 D KORO SrA Seriall/0/0 
10.0.123.3/32 Direct 0 0 D 1271.0.:0...1 Seriall/0/0 
10.0.123.255/32 Direct 0 0 D 127.0.0.1 Seriall/0/0 
127.0.0.0/8 Direct 0 0 D 1271200... InLoopBack0 
127.0.0.1/32 Direct 0 0 D 12 T0091 InLoopBack0 

127.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 
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255.255.255.255/32 Direct 0 0 D 127.0.0.1 InLoopBack0 


在 R3 上 检测 网 络 的 连通 性 。 
«R3»ping -a 10.0.3.3 10.0.1.1 
PING 10.0.1.1: 56 data bytes, press CTRL C to break 


Reply from 10.0.1.1: bytes-56 Sequence-1 ttl1-255 time-60 ms 








Reply from 10.0.1.1: bytes-56 Sequence-2 ttl1-255 time-51 ms 


Reply from 10.0.1.1: bytes-56 Sequence-3 ttl-255 time-50 ms 








Reply from 10.0.1.1: bytes-56 Sequence-4 ttl-255 time-60 ms 





Reply from 10.0.1.1: bytes-56 Sequence-5 ttl-255 time-51 ms 





--- 10.0.1.1 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received t 
0.00% packet loss 


round-trip min/avg/max = 50/54/60 ms 


«R3»ping =a 10.0.3.3 10.0.123.2 
PING 10.0.123.2: 56 data bytes, press CTRL.C^ to break 


Reply from 10.0.123.2: bytes-56 Sequence-1 ttl1-254 time-110 ms 








Reply from 10.0.123.2: bytes-56 Sequence-2 ttl1-254 time-101 ms 


Reply from 10.0.123.2: bytes-56, Sequence-3 ttl1-2254 time-101 ms 








Reply from 10.0.123.2: bpytes-56 Sequence-4 tt1-2254 time-110 ms 








Reply from 10.0.123:22:.bytes-56 Sequence-5 ttl1-2254 time-101 ms 





--- 10.0.123.2 ping'sstatistics --- 


5 packet (s) transmitted 





5 packets) received 
0.00% packet loss 


round-trip min/avg/max = 101/104/110 ms 


«R3»ping -a 10.0.3.3 10.0.2.2 
PING 10.0.2.2: 56 data bytes, press CTRL C to break 


Reply from 10.0.2.2: bytes-56 Sequence-1 ttl1-2254 time-102 ms 








Reply from 10.0.2.2: bytes-56 Sequence-2 ttl1-2254 time-101 ms 


Reply from 10.0.2.2: bytes-56 Sequence-3 ttl-2254 time-110 ms 








Reply from 10.0.2.2: bytes-56 Sequence-4 ttl1-254 time-101 ms 








Reply from 10.0.2.2: bytes-56 Sequence-5 ttl1-2254 time-102 ms 





--- 10.0.2.2 ping statistics --- 





5 packet(s) transmitted 
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5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 101/103/110 ms 


配置 文件 


Rl]display current-configuration 


V200R003C00SPC200] 


sysname R1 








interface Serial2/0/0 
link-protocol fr 

undo fr inarp 

fr map ip 10.0.123.2 102 broadcast 
fr map ip 10.0.123.3 103 broadcast 
ip address 10.0.123.1 255.255.255.0 
ospf network-type p2mp 

ospf dr-priority 255 
# 
interface LoopBackO0 

ip address 10.0.1.1 255.255.255.0 
# 
ospf 1 router-id 10.0. l 

area 0.0.0.0 

network 10.0.0.0 0.255.255.255 
# 
user-interface con 0 
authentication-mode password 


Set authentication password 
cipher $$9$5dD£E JPXHzJ;Xs$X»hOkm!,.-Iq610K K6tlI]cc-;k o'C.«4L,$$$$ 


user-interface vty 0 4 
# 


return 


[R2]display current-configuration 
[V200R003C00SPC200] 
# 


sysname R2 


p 
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# 
interface Serial3/0/0 
link-protocol fr 
undo fr inarp 
fr map ip 10.0.123.1 201 broadcast 
ip address 10.0.123.2 255.255.255.0 
ospf network-type p2mp 
# 
interface LoopBackO0 
ip address 10.0.2.2 255.255.255.0 
# 
ospf 1 router-id 10.0.2.2 
area 0.0.0.0 
network 10.0.0.0 0.255.255.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 


cipher $$$$|nRPL^hr2IXi7LHDID!/,.*£$.82h;3:,hXO2dkfikaWI.*(, 


user-interface vty 0 4 
# 


return 


R3]display current-configuration 


V200R003C00SPC200] 


Sysname R3 








interface) Seriall/0/0 

link-protocol fr 

undo fr inarp 

fr map ip 10.0.123.1 301 broadcast 
ip address 10.0.123.3 255.255.255.0 
ospf network-type p2mp 

# 

interface LoopBackO0 

ip address 10.0.3.3 255.255.255.0 


# 
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ospf 1 router-id 10.0.3.3 

area 0.0.0.0 

network 10.0.0.0 0.255.255.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 


cipher %$%$W]|$)M5D}v@bY^gK\;>QR, .*d; 8Mp> | FEU, :~D~8b59~.. 





user-interface vty 0 4 
# 


return 
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实验 2-3 配置 PPPoE 客户 端 


学 习 目标 


。 ”掌握 PPPoE 客 户 端 拨号 接口 的 配置 方法 
。 ”掌握 PPPoE 客 户 端 认 证 的 配置 方法 


拓扑 图 


R1 R3 








G0/0/0 G0/0/0 


' Virtual Template 
119.84.111.0/24 


—/ 





4 |Go/o/o 


R2 





图 2.3 配置 PPPoE 客 户 端 实验 拓扑 图 


场景 


企业 在 运营 商 开 通 了 高 速 DSL 服 务 用 于 支持 广域网 业务 。R1 和 R3 分 别 是 企 
业 分 支 的 边缘 路 由 器 ， 它 们 通过 PPPoE 服 务 器 ( R2 ) 连接 到 运营 商 网 络 。 您 需 
要 在 企业 的 边缘 路 由 器 上 进行 PPPoE 客 户 端 的 配置 ,让 局 域 网 中 的 主机 可 以 通过 
PPPoFE 拨 号 访问 外 部 资源 。 
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操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


<Huawei>system-view 





Enter system view, return user view with Ctrl+zZ. 





Huawei]sysname R1 


«XHuawei»system-view 





Enter system view, return user view with CtrlL+2 . 





Huawei]sysname R2 





«Huawei»system-view 





Enter system view, return user view with Ctrl+2. 











Huawei]sysname R3 


步骤 二 . 清除 设备 上 原 有 的 配置 
关闭 串 行 接口 。 
Rl]interface Serial 2/0/0 


R1-Serial2/0/0]shutdown 


R3]interface Serial 1/0/0 





R3-Seriall/0/0]shutdown 


步骤 三 配置 PPPoE 服务 器 


虽然 PPPoE 服 务 器 不 在 企业 网 络 中 ， 但 是 本 实验 中 仍 需 配置 PPPoFE 服 务 器 , 
以 用 于 认证 企业 网 络 的 边缘 路 由 器 R1 和 R3。 
R2]ip pool pooll 
Info: It's successful to create an IP address pool. 
R2-ip-pool-pooll]network 119.84.111.0 mask 255.255.255.0 


R2-ip-pool-pooll]gateway-list 119.84.111.254 











R2-ip-pool-pooll]quit 





R2]interface Virtual-Template 1 
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[R2-Virtual-Templatel]ppp authentication-mode chap 


[R2-Virtual-Templatel]ip address 119.84.111.254 255.255.255.0 


[R2-Virtual-Templatel]remote address pool pooli 





[R2-Virtual-Templatel]quit 


[R2-Gigabitl 


[R2-Gigabitl 





R2-aaa 


Info: 


R2-aaa 


R2-aaa 


Info: 


R2-aaa 


R2-aaa 


fER283G0/0/0$z O B xE Re AS 


[R2]interface GigabitEthernet 0/0/0 





Ethernet0/0/0]pppoe-server bind virtual-template 1 





Ethernet0/0/0]quit 


为 PPPoE 被 认证 方 创建 合法 的 账号 和 密码 。 


R2]aaa 





步骤 四 . 


配置 PPP 被 认证 方 的 用 户 名 和 密码 ( 必须 跟 PPPoFE 服 务 器 上 的 一 致 ) 。 


R1]dialer-rule 


Rl1- 


R1- 


RIS 


R1- 


R1- 


R1- 


R1- 


R1- 





R1- 


local-user huaweil password cipher huawei 
Add a new user. 


local-user huaweil service-type ppp 





local-user huawei2 password cipher huawei 


Add a new user. 





local-user huawei2 service-type ppp 





quit 


配置 PPPoE 客户 端 


将 R1 配 置 为 PPPoE 客 户 端 。 需 要 在 R1 上 创建 拨号 接口 并 开局 PPP 认 证 功能 。 


R1-dialer-rule]dialer-rule 1 ip permit 





Dialer1 


Dialer1 


Dialer1 


Dialer1 


Dialer1 


Dialer1 


Dialer1 


Dialer1 





Dialer1 


R1-dialer-rule]quit 


R1]interface Dialer 1 


dialer user userl 

dialer-group 1 

dialer bundle 1 

ppp chap user huaweil 

ppp chap password cipher huawei 
dialer timer idle 300 

dialer queue-length 8 


ip address ppp-negotiate 





quit 
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将 PPPoFE 拨 号 接口 绑 定 到 出 接口 。 


[R1]interface GigabitEthernet 0/0/0 





[R1-GigabitEthernet0/0/0]pppoe-client dial-bundle-number 1 





[R1-GigabitEthernet0/0/0]quit 


配置 本 端 到 PPPoFE 服 务 器 的 缺 省 静态 路 由 。 


[R1]ip route-static 0.0.0.0 0.0.0.0 Dialer 1 


将 R3 配 置 为 PPPoE 客 户 端 。 配 置 步骤 与 R2 一 样 。 


R3]dialer-rule 





R3-dialer-rule]dialer-rule 1 ip permit 
R3-dialer-rule]quit 

R3]interface Dialer 1 

R3-Dialerl]dialer user user2 
R3-Dialerl]dialer-group 1 
R3-Dialerl]dialer bundle 1 

R3-Dialerl]ppp chap user huawei2 
R3-Dialerl]ppp chap password cipher huawei 
R3-Dialerl]dialer timer idle 300 
R3-Dialerl]dialer queue-length 8 


R3-Dialerl]ip address ppp-negotiate 











R3-Dialerl]quit 


[R3]interface GigabitEthernet 0/0/0 





[R3-GigabitEthernet0/0/0]pppoe-client dial-bundle-number 1 





[R3-GigabitEthernet0/0/0]quit 


[R3]ip route-static 0.0.0.0 0.0.0.0 Dialer 1 


步骤 五 .验证 配置 结果 


执行 display pppoe-server session all 命 令 ,查看 PPPoE 会 话 的 状态 和 配 
置信 息 。 
«R2»display pppoe-server session all 
SID Intf State OIntf RemMAC LocMAC 


1  Virtual-Templatel:0 WB GE0/0/0 00e0.£c03.d0ae 00e0.£c03.7516 
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2  Virtual-Templatel:1 UP 


Q 





<R2>display virtual-access 
Virtual-Templatel:0 current state : UP 
Line protocol current state : UP 


Last line protocol up time 





Link layer protocol is PPP 





LCP opened, IPCP opened 
Current system time: 2013-12-12 04:53:01 
Input bandwidth utilization : 0% 


Output bandwidth utilization : 0% 


Virtual-Templatel:1 current state : UP 
Line protocol current state : UP 


Last line protocol up time 





Link layer protocol is PPP 





LCP opened, IPCP opened 
Current system time: 2013-12-12^404:53:01 
Input bandwidth utilization >°: 0$ 


Output bandwidth, utilization : 0% 


从 回 显 信息 可 以 看 出 ， 会 话 状态 正常 。 


E0/0/0 


Route Port,The Maximum Transmit Unit is 1492, 


Route Port,The Maximum Transmit Unit is 1492, 
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00e0.fc03.aedd 00e0.fc03.7516 


2013-12-12 04:15:54 


Description:HUAWEI, AR Series, Virtual-Templatel:0 Interface 


Hold timer is 10(sec) 


st 


2013-12-12 04:23:13 


Description:HUAWEI, AR Series, Virtual-Templatel:T Interface 


Hold timer is 10(sec) 


查看 R1 和 R3 上 的 拨号 接口 的 信息 ， 并 确认 拨号 接口 能 够 从 PPPoE 服 务 器 获 


BXIPTEXIE, 


XRl»display ip interface brief 
*down: administratively down 
^down: standby 
(1): loopback 


(s): spoofing 


The number of interface that is UP in Physical is 7 


The number of interface that is DOWN in Physical is 4 


The number of interface that is UP in Protocol is 5 


The number of interface that is DOWN in Protocol is 6 
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Interface IP Address/Mask Physical Protocol 
Cellular0/0/0 unassigned down down 
Cellular0/0/1 unassigned down down 
Dialer1 I Oe i 2 Sp i59) up (s) 
GigabitEthernet0/0/0 unassigned up down 





.output omitted... 


<R3>display ip interface brief 


..0Output omitted... 


Interface IP Address/Mask Physical Protocol 
Cellular0/0/0 unassigned down down 
Cellular0/0/1 unassigned down down 
Dialeri 119.84.111.252/32 E up(s) eX 
GigabitEthernet0/0/0 unassigned up down 





„Output omitted... 


配置 文件 


Rl]display current-configuration 


V200R003C00SPC200] 


sysname R1 








aaa 
authentication-scheme default 
authorization-scheme-default 
accountinód-schemé default 
domain default 


domain. default admin 





local-user admin password cipher $$$$-i-»Xp&aYt*2cEVCS-A23Uwe£S$$$ 
local-user admin service-type http 
local-user huawei password cipher $$$5$B:$I)IOo0H8) [S$SB[idM3C/!4$5$2$ 


local-user huawei service-type ppp 





# 

interface Dialerl 
link-protocol ppp 
ppp chap user huaweil 


ppp chap password cipher $$$5$A8E-UjX])Q;bhCL*C4Awd«$"Ba$$£S$ 





ip address ppp-negotiate 
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dialer user userl 
dialer bundle 1 
dialer queue-length 8 
dialer timer idle 300 
dialer-group 1 


+ 





interface GigabitEthernet0/0/0 
pppoe-client dial-bundle-number 1 

# 

dialer-rule 

dialer-rule 1 ip permit 

# 

ip route-static 0.0.0.0 0.0.0.0 Dialerl 
# 

user-interface con 0 
authentication-mode password 


set authentication password 


Cipher $$$$dD£t)PXHzJ;Xs$X»hOkm!,.-Iq610K K6tI]cC-;k o C.«*L,$$$2$ 


user-interface vty 0 4 
# 


return 


R2]display current-configuration 


V200R003C00SPC200] 


Sysname R2 








ip pool pooll 

gateway-list 119.84.111.254 

network 119.84.111.0 mask 255.255.255.0 
# 

aaa 

authentication-scheme default 
authorization-scheme default 
accounting-scheme default 

domain default 


domain default admin 





local-user admin password cipher $$$$-i-»Xp&aY-t*2c 


EVCS-A23Uwe£$$£$ 
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local-user admin service-type htt 


o 


local-user huaweil password cipher $$$$MjCY6,a82NAW]F]3LMAKG9-*£5$$$ 


local-user huaweil service-type ppp 





local-user huawei2 password cipher $$$$Ctq55RX:]R,8Jc13(]|,)KH!m£$2$ 








local-user huawei2 service-type ppp 

# 

interface Virtual-Templatel 

ppp authentication-mode chap 

remote address pool pooll 

ip address 119.84.111.254 255.255.255.0 
# 


interface GigabitEthernet0/0/0 





pppoe-server bind Virtual-Template 1 

4 X 
user-interface con 0 

authentication-mode password 


set authentication password 
cipher $$$$|nRPL^hr2IXi7LHDID!/,.*$.82h;3:,hXO2dkfikaWI.*(,$$£2$ 


user-interface vty 0 4 
# 


return 


R3]display current-configuration 


V200R003C00SPC200] 


sysname R3 








aaa 

authentication-scheme default 

authorization-scheme default 

accounting-scheme default 

domain default 

domain default admin 

local-user admin password cipher $$$$-i-»Xp&aYt*2cEVCS-A23Uwe£S$$$ 


local-user admin service-type http 





local-user huawei password cipher $$$5$fZsyUk12O-»:L4'ytgR-D*Im$$£$ 


local-user huawei service-type ppp 





# 


interface Dialerl 
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link-protocol ppp 


ppp chap user huawei2 





ppp chap password cipher $$$5$0f8(;^]1NS:q;SPo8TyP$.Ei$$$2$ 

ip address ppp-negotiate 

dialer user user2 

dialer bundle 1 

dialer queue-length 8 

dialer timer idle 300 

dialer-group 1 

# . 


interface GigabitEthernet0/0/0 





pppoe-client dial-bundle-number 1 
# 


sS 


# 

dialer-rule 

dialer-rule 1 ip permit 

# 

ip route-static 0.0.0.0 0.0.0.0 Dialerl 
# 

user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$2$W|$)M5D)vGbY^gKN;»QR, .*d; 8Mp» | YEU, :~D~8b59~..*g, %$3$ 





user-interface vty 0 4 
# 


return 
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第 三 章 IP 安 全 配置 
实验 3-1 配置 ACL 过 滤 企业 数据 
学 习 目标 


。 ”掌握 高 级 ACL 的 配置 方法 
。 ”掌握 ACL 在 接口 下 的 应 用 方法 


拓扑 图 X 





> PA 
R da: 
R1 R3 


图 3.1 配置 ACL 过 滤 企 业 数据 实验 拓扑 图 


企业 部 署 了 三 个 网 络 ， 其 中 R2 连 接 的 是 公司 总 部 网 络 ，R1 和 R3 分 别 为 两 个 

同 分 支 网 络 的 设备 ， 这 三 台 路 由 器 通过 广 Mii. 你 ER 
Telnet RUF TDIBAFESUR R1 所 在 分 支 的 员工 只 允许 访问 公司 总 部 网 络 中 的 
Telnet 服 务 器 ，R3 所 在 分 支 的 员工 只 允许 访问 FTP 服 务 器 。 
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操作 步骤 


步骤 一 . 实验 环境 准备 

如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 
Huawei]sysname R1 


Huawei]sysname R2 


Huawei]sysname R3 











Huawei]sysname S1 
Sl]vlan 4 
Sl-vlan4]quit 
Sl]interface vlanif 4 


Sl-Vlanif4]ip address 10.0.4.254 24 


Huawei]sysname S2 
S2]vlan 6 
S2-vlanó]quit 


S2]interface vlanif 6 





S2-Vlanif6]ip address 10.0.6.254 24 
步骤 二 . 清除 设备 上 原 有 的 配置 


删除 设备 上 的 OSPF 配 置 、PPPoE 拨 号 接口 以 及 R2 上 的 PPPoE 服 务 器 虚拟 模 
槐 的 配置 。 
RINGspE 
Rl-ospf-1]area 0 
Rl-ospf-1-area-0.0.0.0]undo network 10.0.0.0 0.255.255.255 


Rl]undo ip route-static 0.0.0.0 0 





Rl-GigabitEthernet0/0/0]undo pppoe-client dial-bundle-number 1 
R1]interface Dialer 1 
R1-Dialerl]undo dialer user 


R1]undo interface Dialer 1 








R1]dialer-rule 
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R2]ospf 


R2 


R2-Gigabitl 





R2 


R2 


R2]aaa 





R3]ospf 


R3 


R3-Gigabitl 





R3 


R3 





R3 





步骤 三 . 


interface Gigabitl 


R2-ospf-1]area 0 





R1-dialer-rule]undo dialer-rule 1 


R2-ospf-1l-area-0.0.0.0]undo network 10.0.0.0 0.255.255.255 


Ethernet 0/0/0 


Ethernet0/0/0]undo pppoe-server bind 


Ethernet0/0/0]undo pppoe-client dial-bundle-number 1 


undo ip pool pooll 


R3-ospf-1]area 0 


interface Dialer 1 


dialer-rule 


配置 IP 地 址 


undo interface Virtual-Template 1 


R2-aaa]undo local-user huaweil 


R2-aaa]undo local-user huawei2 


R3-ospf-1l-area-0.0.0.0]undo network 10.0.0.0 0.255.255.295 


undo ip route-static 0.0.0.0 0 


R3-Dialerl1]undo dialer user 


undo interface Dialer 1 


R3-dialer-rule]undo dialer-rule 1 


按照 招 扑 图 中 所 示 网 络 的 地 址 进行 IP 编 址 的 配置 。 


Rl1-Gigabitl 





R2-Gigabitl 
R2-Gigabitl 
R2-Gigabitl 


R2-Gigabitl 





R2-Gigabitl 





R1]interfacé Gigabitl 





Ethernet 0/0/0 


Ethernet0/0/0]ip address 10.0.13.1 24 


R2]interface Gigabitl 


- 
F 
Et 


R3]interface Gigabitl 





hernet0/0/0 
hernet0/0/0 
hernet0/0/1 


hernet0/0/1 





hernet0/0/2 








3: 


i 


i 


Ethernet 0/0/0 


p address 10.0.13.2 24 


interface GigabitEthernet 0/0/1 


p address 10.0.4.2 24 





interface GigabitEthernet 0/0/2 





p address 10.0.6.2 24 


Ethernet 0/0/0 





981067 
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[R3-GigabitEthernet0/0/0]ip address 10.0.13.3 24 


配置 S1 和 92 连 接 路 由 器 的 端口 为 Trunk 端 口 ， 并 通过 修改 PVID 使 物理 端口 
加 入 三 层 VLANIF 逻 辑 接口 。 


S1]interface GigabitEthernet 0/0/2 





Sl-GigabitEthernet0/0/2]port link-type trunk 
S1-GigabitEthernet0/0/2]port trunk allow-pass vlan all 


Sl-GigabitEthernet0/0/2]port trunk pvid vlan 4 





S1-GigabitEthernet0/0/2]quit 


S2]interface GigabitEthernet 0/0/2 





S2-GigabitEthernet0/0/2]port link-type trunk 
S2-GigabitEthernet0/0/2]port trunk allow-pass vlan all 


S2-GigabitEthernet0/0/2]port trunk pvid vlan 6 








S2-GigabitEthernet0/0/2]quit 


步骤 四 . 配置 OSPF 使 网 络 互通 


在 R1、R2 和 R3 上 配置 OSPF， 三 台 设 备 均 在 区 域 0 中 ， 并 发 布 各 自 的 直 连 网 
段 信息 。 
Rl]ospf 
R1-ospf-1]area 0 


R1-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255 


R2]ospf 

R2-ospf-1]area 0 

R2-ospf-i-area-0.0.0.0]network 10.0.13.0 0.0.0.255 
R2-Ospf-l-area-0.0.0.0]network 10.0.4.0 0.0.0.255 


R2-ospf-1-area-0.0.0.0]network 10.0.6.0 0.0.0.255 


R3]ospf 


R3-ospf-1]area 0 





R3-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255 





在 31 和 32 上 配置 缺 省 静态 路 由 ， 指 定 下 一 跳 为 各 自 连 接 的 路 由 器 网 关 。 
[S1]ip route-static 0.0.0.0 0.0.0.0 10.0.4.2 


[S2]ip route-static 0.0.0.0 0.0.0.0 10.0.6.2 
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检测 网 络 的 连通 性 。 
<R1>ping 10.0.4.254 
PING 10.0.4.254: 56 data bytes, press 


Reply from 10.0.4.254: bytes-56 Sequ 


CTRL C to break 


ttl1-2253 








Reply from 10.0.4.254: bytes-56 Sequ 


Reply from 10.0.4.254: bytes-56 Sequ 


ttl1-2253 


ttl12253 








Reply from 10.0.4.254: bytes-56 Sequ 











Reply from 10.0.4.254: bytes-56 Sequ 


nce-1 
nce-2 
nce-3 
nce-4 
nce-5 


ttl1-2253 


ttl12253 





--- 10.0.4.254 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 1/3/10 ms 


«XRl»ping 10.0.6.254 
PING 10.0.6.254: 56 data bytes, press 


Reply from 10.0.6.254: bytes-56 Sequ 


time-2 ms 


time-10 ms 


time-1 ms 


time-2 ms 


time-2 ms 


CTRL C to break 


At 1-253 








Reply from 10.0.6.254: bytes-56 Sequ 


Reply from 10.0.6.254: bytes-56 Sequ 


ncezi 
Tee=2 
nce-3 


ttl1-2253 


ttl1-2253 





Reply from 10.0.6.254: bytes-56 Sequence-4 








Reply from 10.0.6.254: byteszc56 Sequence-5 


ttl1-2253 


ttl1-2253 





--- 10.0.6.254 ping statistics --- 


5 packet(s) transmitted 





5 packet (s) ^xeceived 
0.00$ packet loss 


round-trip» min/avg/max = 2/5/10 ms 


«R3»ping 10.0.4.254 
PING 10.0.4.254: 56 data bytes, press 


Reply from 10.0.4.254: bytes-56 Sequ 


time-10 ms 


time-2 ms 


time-2 ms 


time-10 ms 


time-2 ms 


CTRL C to break 


ttl1-2253 





ttl1-2253 





Reply from 10.0.4.254: bytes-56 Sequ 


Reply from 10.0.4.254: bytes-56 Sequ 


ttl1-2253 





ttl1-2253 





Reply from 10.0.4.254: bytes-56 Sequ 











Reply from 10.0.4.254: bytes-56 Sequ 


nce=1 
nce=2 
nce=3 
nce=4 
nce-5 


ttl1-2253 





--- 10.0.4.254 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 


time-10 ms 


time-2 ms 


time-2 ms 


time-10 ms 


time-2 ms 
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0.00$ packet loss 


round-trip min/avg/max = 2/5/10 ms 


«R3»ping 10.0.6.254 


PING 10.0.6.254: 56 data bytes, press CTRL C to break 

















Reply from 10.0.6.254: bytes-56 Sequence-1 tt1-253 time-10 ms 
Reply from 10.0.6.254: bytes-56 Sequence-2 tt1-253 time-2 ms 
Reply from 10.0.6.254: bytes-56 Sequence-3 tt1-253 time-2 ms 
Reply from 10.0.6.254: bytes-56 Sequence-4 tt1-253 time-10 ms 
Reply from 10.0.6.254: bytes-56 Sequence-5 tt1-253 time-2 ms 








10.0.6.254 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 2/5/10 ms 


步骤 五 .配置 ACL 过 滤 报 文 


将 S1l 配 置 为 Telnet 服 务 器 。 


[S1]user-interface vty 0 4 
[S1-ui-vty0-4]authentication-mode password 


[S1-ui-vty0-4]set authentication password cipher huawei 


将 S2 配 置 为 FTP 服 务 器 。 


S2]ftp server enable 
$2]aaa 
S2-aaa]local-user huawei password cipher huawei 


S2-aaa]local-user huawei service-typ 





ftp 





S2-aaa]local-user huawei ftp-directory flash: 


在 R2 上 配置 ACL ,只 人 允许 R1 访 问 Telnet 服 务 器 ,只 人 允许 R3 访 问 FTP 服 务 器 。 


R2]acl 3000 


R2-acl-adv-3000 


R2-acl-adv-3000 


R2-acl-adv-3000 





R2-acl-adv-3000 


10.0.4.254 0.0.0. 


10.0.6.254 0.0.0. 





rule 5 permit tcp source 10.0.13.1 0.0.0.0 destination 
0 destination-port eq 23 


rule 10 permit tcp source 10.0.13.3 0.0.0.0 destination 
0 destination-port range 20 21 


rule 15 deny ip source any 


quit 
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在 R2 的 G0/0/0 接 口 应 用 ACL。 


[R2]interface GigabitEthernet0/0/0 








[R2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000 


验证 ACL 的 应 用 结果 。 
<R1>telnet 10.0.4.254 
Press CTRL_] to quit telnet mode 
Trying 10.0.4.254 
Connected to 10.0.4.254 
Login authentication 
Password: 
Info: The max number of VTY users is 5, and the number 
of current VTY users on line is 1. 


«S1» 


注意 : 执行 quit 命 令 ， 可 以 结束 Telnet 会 话 ( 
<R1>ftp 10.0.6.254 
Trying 10.0.6.254 


Press CTRL+K to abort 





Error: Failed to connect to thē@nremote host. 


注意 : FTP 连 接 的 啊 应 时 间 约 为 60 秒 。 
«R3»telnet 10.044.254 


Press CTRL ] to quit telnet mode 


Trying 10,0.4.254 





Error: Gan't connect to the remote host 


xR3>ftp 10.0.6.254 

Trying 10.0.6.254 

Press CTRL+K to abort 
Connected to 10.0.6.254. 

220 FTP service ready. 

User (10.0.6.254: (none) ) : huawei 


331 Password required for huawei. 





Enter password: 


230 User logged in. 
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[R3-ftp] 


注意 : 可 以 执行 bye 命 令 , 关闭 FTP 连 接 。 
附加 练习 : 分 析 并 验证 


为 什么 FTP 要 求 ACL 定 义 两 个 端口 ? 
应 在 源 端 网 络 还 是 目标 网 络 配置 基本 和 高 级 ACL， 为 什么 ? 


配置 文件 


XRl»display current-configuration 
[V200R003C00SPC200] 

# 

sysname R1 

# 

aaa 

authentication-scheme default 
authorization-scheme default 
accounting-scheme default 

domain default 


domain default admin 





local-user admin password cipher, $$$$-i-»Xp&aY-t*2cEVcS-A23Uwe£S$$$ 
local-user admin service-type http 
local-user huawei password cipher $$$2$B:$I)IOo0H8) [$SB[idM3C/!4$$$2$ 


local-user huawei service-type ppp 





+ 


interface GigabitEthernet0/0/0 





ip address 10.0.13.1 255.255.255.0 
# 
ospf 1 router-id 10.0.1.1 
area 0.0.0.0 
network 10.0.13.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 
cipher %$%$daD#}P<HzJ;Xs%X>hOkm!, .+Iq61QK K6tI}cc-;k oO C.+L,%$%5$ 


user-interface vty 0 4 
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+ 


return 


<R2>display current-configuration 
[V200R003C00SPC200] 

# 

sysname R2 

# 

acl number 3000 


rule 5 permit tcp source 10.0.13.1 0 destination 10.0.4.254 0 destination-port % 
eq telnet 


rule 10 permit tcp source 10.0.13.3 0 destination 10.0.6.254 0 destination-port 
range ftp-data ftp 


rule 15 deny ip 
# 





interface GigabitEthernet0/0/0 

ip address 10.0.13.2 255.255.255.0 
traffic-filter inbound acl 3000 

# 


interface GigabitEthernet0/0/1 





ip address 10.0.4.2 255.255.255.0 
# 


interface GigabitEthernet0/0/2 





ip address 10.0.6.2 255425 29%.0 

# 

ospf 1 router-id 10.0:2.2 

area 0.0.0.0 
network 10.0.4.0 0.0.0.255 
network 10.0.6.0 0.0.0.255 
network 10.0.13.0 0.0.0.255 

# 

user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$$$|nRPL^hr2IXi7LHDID!/,.*£.8$h;3:,hXO2dkHikaWI.*(,$$$$ 


user-interface vty 0 4 
# 


return 


<R3>display current-configuration 
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[V200R003C00SPC200] 
# 

sysname R3 

# 


interface GigabitEthernet0/0/0 





ip address 10.0.13.3 255.255.255.0 
# 
ospf 1 router-id 10.0.3.3 
area 0.0.0.0 
network 10.0.13.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$$$W|$)M5D)vGbY^gKN; >QOR, .*d; 8Mp> | EU, :~D~8b59~. .xdy $$ 5$ 





user-interface vty 0 4 

# 

return 

<Sl>display current-configuration 

# 

!Software Version V100R006COO0SPC800 
sysname S1 

# 

vlan batch 4 

# 

interface Vlanif4 

ip address^10.0.4.254 255.255.255.0 


+ 





ințterfaceèGigabitEthernet0/0/2 
port.link-type trunk 

port trunk pvid vlan 4 

port trunk allow-pass vlan 2 to 4094 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.4.2 
# 

user-interface con 0 

user-interface vty 0 4 


set authentication password cipher N`C55Q0K<`=/Q=^Q`MAF4<1!! 
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# 


return 

<S2>display current-configuration 

# 

!Software Version V100R0O06COOSPC800 
sysname S2 


FTP server enable 


vlan batch 6 








aaa 

authentication-scheme default 

authorization-scheme default 

accounting-scheme default 

domain default 

domain default admin 

local-user admin password simple admin 

local-user admin service-type http 

local-user huawei password ciphe£ N'C550K«^-/Q-^Q' MAFA«1!! 


local-user huawei ftp-directory flash: 





local-user huawei service-type. ftp 
# 

interface Vlanif6 

ip address 10.0.6.254 255.255.255.0 
# 


interface GigabitEthernet0/0/2 





port link-type trunk 

port trunk pvid vlan 6 

port trunk allow-pass vlan 2 to 4094 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.6.2 
# 

user-interface con 0 


user-interface vty 0 4 
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实验 3-2 NAT 的 配置 


学 习 目标 


。 ”掌握 动态 NAT 的 配置 方法 
。 ”掌握 Easy IP 的 配置 方法 







Vlanif 4:10.0.4.254/24 


Vlanif 6:10.0.6.254/24. 















S1 S2 
GO/O/1 edor 
10.0.4.0/24 10.0.6.0/24 
4 | Goon GO/0/2 3 
R1 R3 


^ 119.84.111.0/24 / 
SEA 


图 3.2 NAT 的 配置 实验 拓扑 图 


场景 


为 了 节省 IP 地 址 ,通常 企业 内 部 使 用 的 是 私有 地 址 。 然 而 ， 企 业 用 户 不 仅 需 
要 访问 私 网 ， 也 需要 访问 公 网 。 作 为 企业 的 网 络 管理 员 ， 您 需要 在 两 个 企业 分 支 
机 构 的 边缘 路 由 器 R1 和 R3 上 通过 配置 NAT 功 能 ， 使 私 网 用 户 可 以 访问 公 网 。 本 
实验 中 ， 您 需要 在 R1 上 配置 动态 NAT、 在 R3 上 配置 Easy IP， 实 现 地 址 转换 。 
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操作 步骤 


步骤 一 . 





R1- 


R3- 


实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


Huawei]sysname R1 


R1l]inter GigabitEthernet0/0/1 





GigabitEthernet0/0/1]ip address 10.0.4.1 24 





Huawei]sysname R3 


R3]interface GigabitEthernet0/0/2 





GigabitEthernet0/0/2]ip address 10.0.6.3 24 


Sl]vlan 4 


S2]vlan 6 


步骤 二 . 


R1 


R1 





R1 








Huawei]sysname S1 


Sl1-vlan3]quit 
Sl]interface vlanif 4 
Sl-Vlanif4]ip address 10.0.4.254 24 


Sl-Vlanif4]quit 


Huawei]sysname S2 


S2-vlanó]quit 
S2]interface vlanif 6 
S2-Vlanif6]ip address 10.0.6.254 24 


S2-Vlanif6]auit 


清除 设备 上 原 有 的 配置 


将 R1 的 G0/0/1 接 口 重新 连接 到 S1，R3 的 G0/0/2 接 口 重新 连接 到 S2， 然 后 
删除 所 有 路 由 器 的 OSPF 配 置 。 


interface GigabitEthernet 0/0/0 


R1-GigabitEthernet0/0/0]undo ip address 





interface GigabitEthernet 0/0/1 


Rl1-Gigabitl 


undo os 


Ethernet0/0/1]undo shutdown 





pf 1 





第 116 页 


华为 保密 信息 ， 未 经 授权 禁止 扩散 


HCNA-HNTD 第 三 章 IP 安全 配置 


Warning: The OSPF process will be deleted. Continue? [Y/N]:y 


[R2]undo ospf 1 


Warning: The OSPF process will be deleted. Continue? [Y/N]:y 


[R3-GigabitEthernet0/0/0]undo ip address 





[R3]interface GigabitEthernet 0/0/2 


[R3-GigabitEthernet0/0/2]undo shutdown 





[R3]undo ospf 1 


Warning: The OSPF process will be deleted. Continue? [Y/N]:y 


删除 S1 和 32 上 指向 R2 的 缺 省 静态 路 由 。 


[S1]undo ip route-static 0.0.0.0 0.0.0.0 
[S2]undo ip route-static 0.0.0.0 0.0.0.0 
步骤 三 . 配置 IP 地址 
在 3S1 和 32 上 将 连接 路 由 器 的 端口 配置 为 Tfunk 端 口 ， 并 通过 修改 PVID 使 物 


理 端 口 加 入 VLANIF 三 层 软 辑 口 。 


Sl]interface GigabitEthernet 0/0/41 





Sl1-GigabitEthernet0/0/1]port./link-type trunk 
Sl1-GigabitEthernet0/0/ljport.trunk pvid vlan 4 


S1-GigabitEthernet0/0/1]port trunk allow-pass vlan all 





S1-GigabitEthernet0/0/1]quit 





S2]interface.GigabitEthernet 0/0/3 
S2-GigabitEthernet0/0/3]port link-type trunk 


S2-GigabitEthernet0/0/3]port trunk pvid vlan 6 





S2-GigabitEthernet0/0/3]port trunk allow-pass vlan all 





Rl]interface GigabitEthernet0/0/0 





Rl1-GigabitEthernet0/0/0]ip address 119.84.111.1 24 





R3]interface GigabitEthernet0/0/0 








R3-GigabitEthernet0/0/0]ip address 119.84.111.3 24 
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测试 R1I 与 S1 和 R3 的 连通 性 。 
XRl»ping 10.0.4.254 


PING 10.0.4.254: 56 data bytes, press CTRL C to break 





Reply from 10.0.4.254: bytes-56 Sequence-1 ttl1-255 time-23 ms 





Reply from 10.0.4.254: bytes-56 Sequence-2 ttl1-254 time-1 ms 


Reply from 10.0.4.254: bytes-56 Sequence-3 ttl1-254 time-1 ms 








Reply from 10.0.4.254: bytes-56 Sequence-4 ttl1-254 time-10 ms 











Reply from 10.0.4.254: bytes-56 Sequence-5 ttl1-254 time-1 ms 





--- 10.0.4.254 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 1/7/23 ms 


XRl»ping 119.84.111.3 
PING 119.84.111.3: 56 data bytes, press CTRL C to break 


Reply from 119.84.111.3: bytes-56 Sequence-1*ttl-255 time-1 ms 








Reply from 119.84.111.3: bytes-56 Sequence-2 tt1-2255 time-10 ms 


Reply from 119.84.111.3: bytes-56 SequénCe-3 ttl-255 time-1 ms 








Reply from 119.84.111.3: bytes-56 Sequence-4 ttl1-255 time-1 ms 











Reply from 119.84.111.3: bytess56.Sequence-5 ttl-255 time-10 ms 





--- 119.84.111.3 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 1/4/10 ms 


步骤 四 :、 配置 ACL 


在 R1 上 配置 高 级 ACL， [匹配 特定 的 流量 进行 NAT 地 址 转换 ， 特 定 流量 为 S1 
向 R3 发 起 的 Telnet 连 接 的 TCP 流 量 ， 以 及 源 IP 为 10.0.4.0/24 网 段 的 IP 数 据 流 。 


[R1]acl 3000 


[R1-acl-adv-3000]rule 5 permit tcp source 10.0.4.254 0.0.0.0 destination 
119.84.111.3 0.0.0.0 destination-port eq 23 


[R1-acl-adv-3000]rule 10 permit ip source 10.0.4.0 0.0.0.255 destination any 


[R1-acl-adv-3000]rule 15 deny ip 


在 R3 上 配置 基本 ACL， 匹 配 需 要 进行 NAT 地 址 转换 的 流量 为 源 IP 为 
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10.0.6.0/24 网 段 的 数据 流 。 
[R3]acl 2000 


[R3-acl-basic-2000]rule permit source 10.0.6.0 0.0.0.255 


步骤 五 .配置 动态 NAT 


在 3S1 和 32 上 配置 缺 省 静态 路 由 ， 指 定 下 一 跳 为 私 网 的 网 关 。 


[S1]ip route-static 0.0.0.0 0.0.0.0 10.0.4.1 


[S2]ip route-static 0.0.0.0 0.0.0.0 10.0.6.3 


在 R1 上 配置 动态 NAT， 首先 配置 地 址 池 ， 然 后 在 GO/0/0 接 口 下 将 ACl 与 地 


址 池 关 联 起 来 ， 使 得 匹配 ACL 3000 的 数据 报 文 的 源 地 址 选用 地 址 池 中 的 某 个 地 
址 进行 NAT 转 换 。 


[R1]nat address-group 1 119.84.111.240 119.84.111.243 





[R1]interface GigabitEthernet 0/0/0 





[R1-GigabitEthernet0/0/0]nat outbound 3000 address-groóup. 1 


将 R3 配 置 为 Telnet 服 务 器 。 


[R3]user-interface vty 0 4 
[R3-ui-vty0-4]authentication-mode, password 


[R3-ui-vty0-4]set authentication password cipher huawei 


[R3-ui-vty0-4]quit 


配置 完成 后 ， 午 看 地 址 池 配 置 是 否 正 确 。 
<R1>display nåt address-group 
NAT Addréss-Group Information: 








Index Start-address End-address 
1 Ti A I AO) 1,309) A 
Total T 


在 S1 上 测试 内 网 到 外 网 的 连通 性 。 
«Sl»ping 119.84.111.3 


PING 119.84.111.3: 56 data bytes, press CTRL C to break 
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Request time out 


Reply from 119.84.111.3: bytes-56 Sequence-2 ttl-254 time-1 ms 





Reply from 119.84.111.3: bytes-56 Sequence-3 ttl-254 time-1 ms 








Reply from 119.84.111.3: bytes-56 Sequence-4 ttl1-254 time-1 ms 


Reply from 119.84.111.3: bytes-56 Sequence-5 ttl1-254 time-1 ms 





--- 119.84.111.3 ping statistics --- 


5 packet(s) transmitted 





4 packet(s) received 
20.00$ packet loss 


round-trip min/avg/max = 1/1/1 ms 


在 S1 上 发 起 到 达 远 端 公 网 设备 的 Telnet 连 接 。 
<Sl>telnet 119.84.111.3 
Trying 119.84.111.3 
Press CTRL+K to abort 
Connected to 119.84.111.3 
Login authentication 
Password: 


<R3> 


Telnet 成 功 后 ， 不 要 结束 该 Telhet 会 话 。 此 时 ， 在 R1 上 查看 ACL 和 NAT 会 
话 的 详细 信息 。 
«Ri»display acl 3000 
Advanced ACL 3000, 2 rules 
Acl's step is«5 


rule 5 permit tcp Source 10.0.4.254 0 destination 119.84.111.3 0 destination-port 
eq telnet X1 matches) 


rule TO permit ip source 10.0.4.0 0.0.0.255 (1 matches) 


ruüle 15 deny ip 


XRl»display nat session all 


NAT Session Table Information: 


Protocol : Weve 
SrcAddr Vpn : 10.0.4.254 
DestAddr Vpn :人 
Type Code IcmpId : 8 0 44003 
NAT-Info 

New SrcAddr : CEEA TENRA 
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New DestAddr $1 ccz 


New IcmplId : 10247 
Protocol : Woes 
SrcAddr Port Vpn : MNRE 49646 
DestAddr Port Vpn : 28 
NAT-Info 

New SrcAddr : MPAA 

New SrcPort : WS 





New DestAddr 一 二 一 
New DestPort D esee 


Total : 2 


由 于 ICMP 会 话 的 生存 周期 只 有 20 秒 ， 所 以 如 果 NAT 会 话 的 显示 结果 中 没 
ICMP 会 话 的 信息 ,可 以 执行 以 下 的 命令 延长 ICMP 会 话 的 生存 周期 3 然后 再 执行 
Ping 命 令 令 后 可 查看 到 ICMP 会 话 的 信息 。 


[R1]firewall-nat session icmp aging-time 300 


在 R3 的 G0/0/0 接 口 配 置 Easy IP， 并 关联 AGL 2000, 


[R3-GigabitEthernet0/0/0]nat outbound 2000 





测试 32 能 否 经 过 R3 连 通 R1_ 并 查看 配置 的 NAT Outbound 的 信息 。 
«S2»ping 119.84.111.1 
PING 119.84.111.1: 5 人 AU data bytes, press CTRL C to break 


Reply from 119£84;:111.1: bytes-56 Sequence-1 ttl1-254 time-1 ms 








Reply from4119.84:111.1: bytes-56 Sequence-2 ttl1-254 time-1 ms 


Reply from 119.84.111.1: bytes-56 Sequence-3 ttl-254 time-1 ms 





Reply from 119.84.111.1: bytes-56 Sequence-4 ttl1-254 time-1 ms 

















Reply-from 119.84.111.1: bytes-56 Sequence-5 ttl1-254 time-1 ms 
Xz 119.84.111.1 ping statistics --- 
5 packet(s) transmitted 


5 packet(s) received 





0.00$ packet loss 


round-trip min/avg/max = 1/1/1 ms 


«R3»display acl 2000 
Basic ACL 2000, 1 rule 


Acl's step is 5 
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rule 5 permit source 10.0.6.0 0.0.0.255 (1 matches) 


«R3»display nat outbound acl 2000 


NAT Outbound Information: 





Interface Acl Address-group/IP/Interface Type 
GigabitEthernet0/0/0 2000 TIO GA LIS easyip 
Total : 1 


配置 文件 


XRl»display current-configuration í 


pt 


V200R003C00SPC200] 


sysname R1 


firewall-nat session icmp aging-time 300 








acl number 3000 


rule 5 permit tcp source 10.0.4.254W destination 119.84.111.3 0 destination-port 
eq telnet 


rule 10 permit ip source 10.0.4.0 0.0.0.255 

rule 15 deny ip 

# 

nat address-group 1.119.84.111.240 119.84.111.243 
# 


interfáce GigabitEthernet0/0/0 





ip address 119.84.111.1 255.255.255.0 
nat outbound 3000 address-group 1 
# 





interface GigabitEthernet0/0/1 

ip address 10.0.4.1 255.255.255.0 
# 

user-interface con 0 
authentication-mode password 


set authentication password 
cipher %$%$daD#}P<HzJ;Xs%X>hOkm!, .+Iq61QK`K6tI}cc-;k_o`C.+L,%$3%$ 


user-interface vty 0 4 
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+ 


return 


<R3>display current-configuration 
[V200R003C00SPC200] 

# 

sysname R3 

# 

acl number 2000 

rule 5 permit source 10.0.6.0 0.0.0.255 
# 


interface GigabitEthernet0/0/0 





ip address 119.84.111.3 255.255.255.0 
nat outbound 2000 
# 


interface GigabitEthernet0/0/2 





ip address 10.0.6.3 255.255.255.0 
# 

user-interface con 0 
authentication-mode password 


set authentication password 


cipher $$$$W|$)M5D)vGbY^gKN; »OR, . *d; 8Mp> | +1 


user-interface vty 0 4 
authentication-mode password 


set authentication" password 
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EU, :~D~8b59~. .*g, 


9 
$ 


$595 


cipher $$$$7ml|,!ccE$SQ-CZ(GtaES$ShO»v]-bVkl8p5qq«:UPtI:9hOA2$2$$$ 








+ 


return 


<S1>display current-configuration 

# 

!Software Version V100R006C00SPC800 
sysname S1 

# 

vlan batch 4 

# 

interface Vlanif4 

ip address 10.0.4.254 255.255.255.0 


+ 
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interface GigabitEthernet0/0/1 





port link-type trunk 

port trunk pvid vlan 4 

port trunk allow-pass vlan 2 to 4094 
# 





interface GigabitEthernet0/0/2 

port link-type trunk 

port trunk pvid vlan 4 

port trunk allow-pass vlan 2 to 4094 
# 


interface GigabitEthernet0/0/14 





shutdown 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.4.1 

# 

user-interface con 0 

user-interface vty 0 4 

set authentication password cipher N`C550K<`=/Q=^Q`MAF4<1!! 
# 


return 


<S2>display current-configuration 

# 

!Software Version V100R006C00SPC800 
sysname S2 

# 

vlan batch 6 

# 

interfacé Vlanif6 

ip.áddress 10.0.6.254 255.255.255.0 
# 


interface GigabitEthernet0/0/2 





port link-type trunk 

port trunk pvid vlan 6 

port trunk allow-pass vlan 2 to 4094 
# 


interface GigabitEthernet0/0/3 





port link-type trunk 
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port trunk pvid vlan 6 
port trunk allow-pass vlan 2 to 4094 
# 





interface GigabitEthernet0/0/23 

shutdown 

# 

ip route-static 0.0.0.0 0.0.0.0 10.0.6.3 
# 

user-interface con 0 

user-interface vty 0 4 

# 


return 
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实验 3-3 本 地 AAA 配置 
学 习 目 标 


。 ”掌握 本 地 AAA 认证 授权 方案 的 配置 方法 
。 ”掌握 创建 域 的 方法 
。 ”掌握 认证 用 户 优 先 级 的 配置 方法 


拓扑 图 


X 
R3 
00/0 
3 


R1 
sz ` 419.84.111.0/24 —& 
.1 b 
T 
bc 


图 3-3 本 地 AAA 配置 实验 拓扑 图 





场景 
您 是 企业 的 网 络 管理 员 ,需要 对 企业 服务 器 的 资源 访问 进行 控制 ,只 有 通过 


认证 的 用 户 才 能 访问 特定 的 资源 ， 因 此 您 需要 在 R1 和 R3 两 台 路 由 器 上 配置 本 地 
AAA 认 证 ,并 基于 域 来 对 用 户 进行 管理 ， 并 配置 已 认证 用 户 的 权限 级 别 。 


操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 
Huawei]sysname R1 


R1]interface GigabitEthernet0/0/0 








R1-GigabitEthernet0/0/0]ip address 119.84.111.1 24 





Huawei]sysname R3 
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[R3]inter GigabitEthernet0/0/0 





[R3-GigabitEthernet0/0/0]ip address 119.84.111.3 24 





步骤 二 . 清除 设备 上 原 有 的 配置 


删除 R1 和 R3 上 原 有 NAT 和 ACL 配 置 。 


R1]interface GigabitEthernet 0/0/0 








R1-GigabitEthernet0/0/0]quit 
Rl]undo nat address-group 1 


R1]undo acl 3000 


R3]interface GigabitEthernet 0/0/0 





R3-GigabitEthernet0/0/0]undo nat outbound 2000 





R3-GigabitEthernet0/0/0]quit 





R3]undo acl 2000 


步骤 三 . 检测 R1 和 R3 间 的 连通 性 


XRl»ping 119.84.111.3 


PING 119.84.111.3: 56 data bytes, press CTRL C to break 


Reply from 119.84.111.3: bytes-56 Sequence-1 ttl-255 time-70 








Reply from 119.84.111.3&5^bytes-56 Sequence-2 ttl-2255 time-20 


Reply from 119.84.11f.38:; bytes-56 Sequence-3 ttl1-255 time-10 





Reply from 119,84.111.3: bytes-56 Sequence-4 ttl-255 time-20 

















Reply from,119.84.111.3: bytes-56 Sequence-5 ttl1-255 time-10 


--- 119.84.111.3 ping statistics --- 
5 paàcket(s) transmitted 
5 packet(s) received 
0200% packet loss 


round-trip min/avg/max = 10/26/70 ms 


步骤 四 . 在 R1 上 配置 AAA 功能 


在 R1 上 配置 认证 方案 为 本 地 认证 ， 授 权 方 案 为 本 地 授权 。 
[R1]aaa 


[R1-aaa]authentication-scheme auth1 


Info: Create a new authentication scheme. 





R1-GigabitEthernet0/0/0]undo nat outbound 3000 address-group 1 


ms 


ms 


ms 
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R1-aaa-authen-authl]authentication-mode local 
R1-aaa-authen-authl]quit 
R1-aaa]authorization-scheme auth2 


Info: Create a new authorization scheme. 





R1-aaa-author-auth2]authorization-mode local 








R1-aaa-author-auth2]quit 


在 R1 上 创建 域 “huawei“ 并 将 认证 方案 和 授权 方案 与 域 关联 起 来 ， 然 后 创 
建 一 个 用 户 并 将 用 户 加 入 到 域 huawei。 
Rl-aaaldomain huawei 
R1-aaa-domain-huawei]authentication-scheme auth1 
R1-aaa-domain-huawei]authorization-scheme auth2 
Rl-aaa-domain-huawei]quit 


R1-aaa]local-user userlQhuawei password cipher huawei 





R1-aaa]local-user userl@huawei service-type telnet 








R1-aaa]local-user userlQ8huawei privilege level 0 


将 R1 配 置 为 Telnet 服 务 器 ， 认 证 模式 配置 为 AAA。 


[R1]user-interface vty 0 4 


[R1-ui-vty0-4]authentication-mode, aaa 


验证 Telnet RIBjZeS RESI AAATAUE, 
«R3»telnet 119.84.111.1 
Press CTRL ] to quit;telnet mode 
Trying 119.84.111.1 


Connected tò 119.84.111.1 
Login authentication 


Username:userl(ühuawei 
Password: 
XRl»5system-view 


^ 


Error: Unrecognized command found at '^' position. 





<R1>quit 


可 以 看 到 用 户 user1@huawei Telnet Rl 后 不 能 使 用 命令 system-view 进 
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入 系统 试图 ， 原 因 是 用 户 操作 权限 配置 的 是 级 别 0， 因 此 操作 受 限 。 


步骤 五 . 在 R3 上 配置 AAA 功能 


在 R3 上 配置 认证 方案 为 本 地 认证 ， 授 权 方 案 为 本 地 授权 。 


R3]aaa 
R3-aaa]authentication-scheme authl 


Info: Create a new authentication scheme. 





R3-aaa-authen-authl]authentication-mode local 
R3-aaa-authen-authl]quit 
R3-aaa]authorization-scheme auth2 


Info: Create a new authorization scheme. 





R3-aaa-author-auth2]authorization-mode local 








R3-aaa-author-auth2]quit 


在 R3 上 创建 域 “huawei“ 并 将 认证 方案 和 授权 方案 与 域 天 联 起 来 ， 然 后 创 


建 一 个 用 户 并 将 用 户 加 入 到 域 huawei。 


R3-aaa]domain huawei 
R3-aaa-domain-huawei]authentication-scheme-auth1 
R3-aaa-domain-huawei]authorization-scheme auth2 


R3-aaa-domain-huawei]quit 











R3-aaa]local-user/ user380huawei privilege level 0 


R3-aaa]local-user user38huawei service-type telnet 


R3-aaa]local-user user30huawei-password cipher huawei 


在 R3 人 配置 为 Telnet 服 务 ， 并 将 认证 模式 配置 为 AAA。 


[R3]user-interface vty 0 4 


[R3-ui-vty0-4]authentication-mode aaa 


验证 Telnet R1 时 是 否 要 经 过 AAA 认证 。 
.<R1>telnet 119.84.111.3 
Press CTRL ] to quit telnet mode 
Trying 119.84.111.1 ... 
Connected to 119.84.111.1 ... 
Login authentication 


Username:user3Qhuawei 
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Password: 


XR3»5system-view 


^ 


Y^ 





Error: Unrecognized command found at position. 


«R3» 


可 以 看 到 用 户 user3@huawei 同 样 是 因为 的 登录 后 操作 权限 配置 的 是 级 别 
0， 因 此 操作 受 限 。 


步骤 六 . 验证 AAA 的 配置 结果 


XRl»display domain name huawei 


Domain-name : huawei 
Domain-state : Active 
Authentication-scheme-name : authl 
Accounting-scheme-name : default 


Authorization-scheme-name : auth2 


Service-scheme-nam to 





RADIUS-server-templat = 








HWTACACS-server-templat $c 


User-group SX 





XRl»display local-user username userl8huawei 


The contents of local use£(s): 


Password i RI 火炎 大 大 大 大 大 大 大 大 大 大 大 大 
State : active 
Service-type-mask LT 

Privilege MeveY aO 


Ftp-directory nau 
Aocess-limit A 
Accessed-num ::0 
Idle-timeout 和 


User-group Se 


«R3»display domain name huawei 


Domain-name : huawei 
Domain-state : Active 
Authentication-scheme-name ER 
Accounting-scheme-name : default 
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Authorization-scheme-name Eau 





Service-scheme-nam oum 





RADIUS-server-templat dam 


HWTACACS-server-templat 8m 





User-group HIS 


«R3»display local-user username user3ühuawei 





The contents of local user(s): 


Password 炎炎 炎炎 炎炎 炎炎 炎炎 炎炎 炎炎 
State : active 

Service-type-mask SD * 
Privilege level & (9 


Ftp-directory $m 


Access-limit E 


e 
p 


Accessed-num 
Idle-timeout Lor 


User-group nS 


配置 文件 


XRl»display current-configuration 

[V200R003C00SPC200] 

# 

sysname R1 

# 

aaa 

authentication^scheme default 
authentication-scheme authl 
authorization-scheme default 
authorization-scheme auth2 
accounting-scheme default 
domain default 

domain default admin 

domain huawei 
authentication-scheme authl 


authorization-scheme auth2 





local-user admin password cipher $$$$-i-»Xp&aYt*2cEVCcS-A23UweZ2S$$$ 
local-user admin service-type http 


local-user huawei password cipher $$$2$B:$I)IOo0H8) [$SB[idM3C/!4$$$$ 
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local-user 





local-user 
local-user 
local-user 


+ 


huawei service-type ppp 
userl@huawei password cipher $$$$^L*5IP'0^A!;R)R*L-LFcXgv$$$2$ 
userl@huawei privilege level 0 


userl@huawei service-type telnet 





interface GigabitEthernet0/0/0 


ip address 





119.84.111.1 255.255.255.0 


nat outbound 3000 address-group 1 //may remain from previous labs 


+ 


user-interface con 0 


authentication-mode password 


set authentication password 
cipher $$$$dD£t)P«HzJ;Xs$X»hOkm!,.-Iq610K K6tI]cc-;k o'C.-*L,$$$$ 


user-interface vty 0 4 X 


authentication-mode aaa 


+ 


return 


<R3>display current-configuration 


[V200R003C00SPC200] 


# 
sysname R3 
# 


aaa 


authentication-schéme default 


authentication^scheme authl 


authorization-scheme default 


authorization-scheme auth2 


accounting- 


Scheme default 


domain default 


domain default admin 


domain huawei 


authentication-scheme auth1 


authorization-scheme auth2 


local-user 


local-user 


local-user 


admin password cipher $$$$-i-»Xp&aYt*2cEVcS-A23Uwe£S$2$ 
admin service-type http 


huawei password cipher $$$$fZsyUkl-O-»2:L4'ytgR-D*Im£$2$ 





local-user 


local-user 


huawei service-type ppp 





user3ühuawei password cipher $$$$WOt.;bESR«8fz3LCiPY,che $$$$ 
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local-user user38huawei privilege level 0 


local-user user38huawei service-type telnet 





+ 





interface GigabitEthernet0/0/0 

ip address 119.84.111.3 255.255.255.0 

nat outbound 2000 //may remain from previous labs 
# 

user-interface con 0 

authentication-mode password 


set authentication password 


cipher %$%$W]|$)M5D}v@bY^gK\;>QR, . *d; 8Mp> | FEU, :~D~8b59~.. 





user-interface vty 0 4 
authentication-mode aaa 
# 


return 
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实验 3-4 IPsec VPN 配置 
学 习 目 标 


。 ”掌握 IPSec 提议 的 配置 方法 
。 ”掌握 使 用 ACL 定 义 感 兴趣 流 的 方法 
。 ”掌握 IPSec 策 略 的 配置 方法 
。 ”掌握 在 接口 绑 定 IPSec 策略 的 方法 


拓扑 图 


LoopBackO 10.0.1.1/24 | LoopBack0 10.0.3.3/24 
LoopBack1: 10.0.11.11/24 LoopBack1: 10.0.33.33/24 


bx bx 


pe E d i d 
SS S1/0/0 S1/0/0 SS S2/0/0 EE 





| j R 
10.0.12.0/24 ~ = j 10.0.23.0/24 


R1 R2 R3 


图 3. 东 IPSec VPN 实 验 拓扑 图 


企业 的 某 些 私 有 数据 在 公 网 传输 时 要 确保 完整 性 和 机 密 性 。 作为 企业 的 网 络 
管理 员 您 需要 在 企业 总 部 的 边缘 路 由 器 ( R1 ) 和 分 支 机 构 路 由 器 ( R3 ) 之 间 
BBEIPSec VPN 解 决 方案 ， 建 YIPSec 隧 道 ， 用 于 安全 传输 来 自 指定 部 门 的 数据 


Vit. 


操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 


«Huawei»system-view 
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Huawei]sysname R1 
R1l]interface Serial 1/0/0 
R1-Seriall/0/0]ip address 10.0.12.1 24 


Rl1-Seriall/0/0]interface loopback 0 





R1-LoopBack0]ip address 10.0.1.1 24 


«Huawei»system-view 

Huawei]sysname R2 

R2]interface Serial 1/0/0 
R2-Seriall/0/0]ip address 10.0.12.2 24 
R2-Seriall/0/0]interface serial 2/0/0 
R2-Serial2/0/0]ip address 10.0.23.2 24 


R2-Serial2/0/0]interface loopback 0 





R2-LoopBack0]ip address 10.0.2.2 24 


XHuawei»system-view 

Huawei]sysname R3 

R3]interface Serial 2/0/0 
R3-Serial2/0/0]ip address 10.0.23.3 24 


R3-Serial2/0/0]interface loopback 0 





R3-LoopBack0]ip address 10.0.3.3.24 


步骤 二 . 清除 设备 上 原 有 的 配置 


删除 Rl 和 R3 卡 的 G0/0/0 接 口 的 IP 地 址 ,并 关闭 无 关 接 口 。 打 开 R2 上 相关 接 


口 。 


R1]interface GigabitEthernet 0/0/0 





R1-GigabitEthernet0/0/0]undo ip address 
R1-GigabitEthernet0/0/0]quit 


Rljinterface GigabitEthernet 0/0/1 





R1-GigabitEthernet0/0/1]shutdown 











R1-GigabitEthernet0/0/1]quit 
Rl]interface Serial 1/0/0 


Rl1-Seriall/0/0]undo shutdown 


R2]interface Serial 1/0/0 


R2-Seriall/0/0]undo shutdown 





R2]interface Serial 2/0/0 
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R3-Gi 


R3-Gi 








步骤 三 . 


R1-Lo 


R1-Lo 


R3-Lo 








R3-Lo 


步骤 四 . 


R2-Serial2/0/0]undo shutdown 


R3]interface GigabitEthernet 0/0/0 


gabitEthernet0/0/0]undo ip address 








R3]interface GigabitEthernet 0/0/2 


gabitEthernet0/0/2]shutdown 











R3]interface Serial 2/0/0 


R3-Serial2/0/0]undo shutdown 


创建 逻辑 接口 


opBack0]interface loopback 1 


opBackl]ip address 10.0.11.11 24 


opBack0]interface loopback 1 


opBackl]ip address 10.0.33.33 24 


配置 OSPF 


在 R1、R2 和 R3 上 配置 OSPF , 将 Loopback 0 的 IP 地 址 作为 路 由 器 的 Router 
ID ， 使 用 OSPF 的 默认 进程 1 ,并 将 公 网 网 段 10.0.12.0/24 和 10.0.23.0/24 以 及 环 
回 接口 地 址 通告 在 OSPF 区 域 0。 


R1]os 
R1-os 
Rl1-os 
Rl1-os 


Rl1-os 


R2-0s$ 
R2-0os 
R2-os 


R2-os 


R3]os 
R3-os 
R3-os 


R3-os 





R3-os 


pf-1]area 0 
pf-1-area-0.0:* 


pf-1-area-0.0. 





pf-12area-0.0. 


pf-1]area 0 
pf-1-area-0.0. 
pf-1-area-0.0. 


pf-1-area-0.0. 


pf-1]area 0 
pf-1-area-0.0. 


pf-1-area-0.0. 





pf-1-area-0.0. 


pf router-id 10.0.1.1 


0.0]network 10.0.12.0 0.0.0.255 
0.0]network 10.0.1.0 0.0.0.255 


0.0]network 10.0.11.0 0.0.0.255 


R2]osSpf xouter-id 10.0.2.2 


0.0]network 10.0.2.0 0.0.0.255 
0.0]network 10.0.12.0 0.0.0.255 


0.0]network 10.0.23.0 0.0.0.255 


pf router-id 10.0.3.3 


0.0]network 10.0.23.0 0.0.0.255 
0.0]network 10.0.3.0 0.0.0.255 


0.0]network 10.0.33.0 0.0.0.255 
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待 OSPF 收 敛 完成 后 ， 查 看 OSPF 邻 居 以 及 路 由 表 。 
«R2»display ospf peer brief 
OSPF Process 1 with Router ID 10.0.2.2 


Peer Statistic Information 


Area Id Interface Neighbor id State 
OROMOO Seriall/0/0 TONOA: Full 
OROMOO Serial2/0/0 10.9.3. 3 Full 


XRl»display ip routing-table 


Route Flags: R - relay, D - download to fib t 


Routing Tables: Public 











Destinations : 17 Routes : 17 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 Direct 0 0 D LOWwD.1.1 LoopBack0 
L0.0:1.:1/32 Direct 0 0 D 127.0.0.1 LoopBackO0 
10.0.1.255/32 Direct 0 0 D 12 T3001 LoopBack0 
10502 2/92 OSPF 10 783 D 10012-2 Seriall/0/0 
TOROS OSPE 1Qf A343 D TOKOSI Seriall/0/0 
10.0.11.0/24 Direct 0 0 D 10.0.I1.11 LoopBackl 
10.0.11.11/32 Direct 0 0 D Y27.0.0;1 LoopBackl 
10.0.11.255/32 «Direct 0 0 D 127.0.0.1 LoopBackl 
10.0.12.0/24 Direct 0 0 D  10.0.12.1 Seriall/0/0 
10.0.12.1/32 Direct 0 0 D  127.0.0.1 Seriall/0/0 
18&.0NL.2.2/32 Direct 0 0 D  10.0.12.2 Seriall/0/0 
10.0.12.255/32 Direct “0 0 D  127.0.0.1 Seriall/0/0 
10:02: (0/24 OSPF TO 2943 Do 10:0122 Seriall/0/0 
10-0233322 OSPE 10 2343 D TOPS (0 2 Seriall/0/0 
127.0.0.0/8 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 

127.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 

255.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 








如 果实 验 2-1 中 的 配置 未 被 清除 ， 即 路 由 器 串口 的 时 钟 频率 仍 为 128000 
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bit/s， 则 路 由 表 中 会 显示 OSPF 开 销 值 如 下 。 


«R3»display ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 








Destinations : 17 Routes : 17 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
3b (0) 53b 30732 OSPF io S24 Do OO CR Serial2/0/0 
T00232732 OSPF 3 1562 D 10022 Serial2/0/0 
10.0.3.0/24 Direct 0 0 Dr i 1020433 LoopBack0 
10.0.3.3/32 Direct 0 0 D 127.0.0.1 LoopBack0 
10.0.3.255/32 Direct 0 0 D 127.0.0.1 LoopBack0 
1.0.33 11/532 OSET 10 3124 D. 09:02523557 Ser£al2/0/0 
10.0.12.0/24 OSPF 10 3124 Do 30.052542 SE 312/0/0 
10.0.23.0/24 Direct 0 0 D 10.0.23.3 Serial2/0/0 
10.0.23.2/32 Direct 0 0 D 10.0.2342 Serial2/0/0 
10.0.23.3/32 Direct 0 0 D 1$7.«M0Yt Serial2/0/0 
10.0.23.255/32 Direct 0 0 D^'W20.0.1 Serial2/0/0 
10.0.33.0/24 Direct 0 0 ØA 10.0.33.33 LoopBackl1 
10.0.33.33/32 Direct 0 0 D 127.0.0.1 LoopBack1 
10.0.33.255/32 Direct 0 0 D 127.0.0.1 LoopBackl1 
127.0.0.0/8 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 

127.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 

255.255.255.255/32 «Direct 0 0 D 127.0.0.1 InLoopBack0 











步骤 五 .、 配置 ACL 定义 感 兴趣 流 


配置 高 级 ACL 来 定义 IPsec VPN 的 感 兴趣 流 。 高 级 ACL 能 够 基于 特定 的 参数 
来 匹配 流量 。 
[R1]acl 3001 


[R1-acl-adv-3001]rule 5 permit ip source 10.0.1.0 0.0.0.255 destination 10.0.3.0 
0.0.0.255 


[R3]acl 3001 


[R3-acl-adv-3001]rule 5 permit ip source 10.0.3.0 0.0.0.255 destination 10.0.1.0 
0.0.0.255 
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步骤 六 . 配置 IPSec VPN 提议 


创建 IPsec 提议 ， 并 进入 IPsec 提议 视图 来 指定 安全 协议 。 注 意 确保 隧道 两 端 
的 设备 使 用 相同 的 安全 协议 。 
R1]ipsec proposal tranl 
Rl-ipsec-proposal-tranl]esp authentication-algorithm shal 


Rl-ipsec-proposal-tranl]esp encryption-algorithm 3des 


R3]ipsec proposal tranl 


R3-ipsec-proposal-tranl]esp authentication-algorithm shal 














R3-ipsec-proposal-tranl]esp encryption-algorithm 3des 


执行 display ipsec proposal 命 令 验证 配置 结果 。 
[R1]display ipsec proposal 


Number of proposals: 1 











IPSec proposal name : tranl 

Encapsulation mode : Tunnel 

Transform : esp-new 

ESP protocol d Authentication SHA1-HMAC-96 
Encryption 3DES 


[R3]display ipsec proposal 


Number of proposals: 1 





IPSec proposal name : tranl 

Encapsulation mode : Tunnel 

Transform : esp-new 

ESP protocotrt : Authentication SHA1-HMAC-96 
Encryption SIDES 








步骤 七 . ”创建 IPsec 策略 


手工 创建 IPsec 策略 每 一 个 IPsec 安全 策略 都 使 用 唯一 的 名 称 和 序号 来 标识 ， 
IPsec 策略 中 会 应 用 IPsec 提议 中 定义 的 安全 协议 、 认 证 算法 、 加 密 算法 和 封装 模 
式 ， 手 工 创 建 的 IPsec 策略 还 需 配置 安全 联盟 ( SA ) 中 的 参数 。 
[R1]ipsec policy P1 10 manual 
[Rl-ipsec-policy-manual-P1-10]security acl 3001 


[R1-ipsec-policy-manual-P1-10]proposal tranl 
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RISI 
Rl1-i 
Rl1-i 
Rl-i 
Rl1-i 


Rl-i 


R3]i 
R3-i 
R3-i 
R3-i 
R3-i 
R3-i 
R3-i 


R3-i 





R3-i 





psec-policy-manual-P1-10 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 


psec-policy-manual-P1-10 





psec-policy-manual-P1-10 


psec policy P1 10 manual 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 
psec-policy-manual-P1-10 


psec-policy-manual-P1-10 











psec-policy-manual-P1-10 


tunnel remote 10.0.23.3 

tunnel local 10.0.12.1 

Sa spi outbound esp 54321 

Sa spi inbound esp 12345 

Sa string-key outbound esp simple huawei 


Sa string-key inbound esp simple huawei 


security acl 3001 
proposal tranl 

tunnel remote 10.0.12.1 
tunnel local 10.0.23.3 


Sa spi outbound esp 12345 ( 
Sa spi inbound esp 54321 i: 


sa string-key outbound esp simple huawei 


sa string-key inbound esp simple huawei 


执行 display ipsec policy 命 令 ， 验证 配置 结果 。 


<R1>display ipsec policy 








IPSec policy group: 


"pj" 


Using interface: 








Sequence number .:.10 


Security data flow: 3001 
Tunnel local address: 10.0.12.1 
Tunnel'sremote address: 10.0.23.3 








Qos pre-classify: Disable 


Proposal name:tranl 


Inbound AH setting: 


Inbound 





AH SPI: 


AH string-key: 





ESP setting: 


SEMEN SMS (0x3039) 
string-key: huawei 


encryption hex key: 


AH authentication hex key: 


authentication hex key: 
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Outbound AH setting: 
AH SPI: 
AH string-key: 


AH authentication hex key: 





Outbound ESP setting: 


SE (0xd431) 
ESP string-key: huawei 


ESP encryption hex key: 





ESP authentication hex key: 


«R3»display ipsec policy 








IPSec policy group: "P1" 


Using interface: 








Sequence number: 10 


Security data flow: 3001 
Tunnel local address: 10.0.23.3 
Tunnel remote address: 10.0.12.1 








Qos pre-classify: Disable 
Proposal name:tranl 
Inbound AH setting: 

AH SPI: 

AH string-key: 


AH authentication hex key: 





Inbound ESP setting: 


ESP $PIx 54321 (0xd431) 
ESA sthPing-key: huawei 


ESP encryption hex key: 





ESP authentication hex key: 
Outbound AH setting: 

AH SPI: 

AH string-key: 


AH authentication hex key: 





Outbound ESP setting: 


ASROR (Ox3039) 


ESP string-key: huawei 





ESP encryption hex key: 
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ESP authentication hex key: 


步骤 八 . 在 接口 下 应 用 IPSec 策略 


在 物理 接口 应 用 IPSec 策略 ， 接 口 将 对 感 兴趣 流量 进行 IPsec 加 密 处 理 。 


R1]interface Serial 1/0/0 


R1-Seriall/0/0]ipsec policy P1 


R3]interface Serial 2/0/0 





R3-Serial2/0/0]ipsec policy P1 


步骤 九 . 检测 网 络 的 连通 性 


受 备 对 不 感 兴趣 流量 不 进行 IPSec 加 密 处 理 。 
<R1>ping -a 10.0.11.11 10.0.33.33 


PING 10.0.33.33: 56 data bytes, press CTRL C to break 





Reply from 10.0.33.33: bytes-56 Sequence-1 ttl1-254 time-60 ms 


Reply from 10.0.33.33: bytes-56 Sequence-2 .tti1z254 time-50 ms 





Reply from 10.0.33.33: bytes-56 Sequencé23. ttl-254 time-50 ms 








Reply from 10.0.33.33: bytes-56 Séguencé-4 ttl1-254 time-60 ms 











Reply from 10.0.33.33: bytes-56 Sequence-5 tt1-254 time-50 ms 
--- 10.0.33.33 ping statistiges --- 


5 packet(s) transmitted 





5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 50/54/60 ms 


<R1>dőí splay ipsec statistics esp 





Inpacket count 8 (9 
Inpácket auth count $0 
Inpacket decap count : 0 
Outpacket count &- (9 
Outpacket auth count ::0 
Outpacket encap count so 
Inpacket drop count 20 
Outpacket drop count : 0 
BadAuthLen count : 0 
AuthFail count s 
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InSAAclCheckFail count 


Pkt 


DuplicateDrop count 


PktSeqNoTooSmallDrop count: 0 


Pkt 


PING 10.0.3.3: 


InSAMissDrop count 


设备 将 对 感 兴 超 


Reply from 10.0.3.3: 


Reply from 10.0.3.3: 


Reply from 10.0.3.3: 


Reply from 10.0.3.3: 


Reply from 10.0.3.3: 


56 data bytes, 


流量 进行 IPsec 加 密 处 理 。 


XRl»ping -a 10.0.1.1 10.0.3.3 


bytes-56 Seq 


press 


HCNA-HNTD 第 三 


CTRL C to break 


nce-1 ttl-255 





bytes-56 Seq 


u 


nce=2 ttl=255 





bytes=56 Seq 


u 


nce-3 ttl=255 





nce-4 ttl=255 





bytes=56 Seq 





bytes=56 Seq 


nce-5 ttl-255 





10.0.3.3 ping statistics --- 


5 packet(s) transmitted 





5 packet(s) received 


0.00$ packet loss 


round-trip min/avg/max - 77/78/80 ms 


XRl»display ipsec statistics esp 


Inp 
Inp 
Inp 
Out 
Out 
Out 
Inp 


Out 


acket count 


acket auth count 


acket decap count 


packet count 





packet auth,count 
packet encap count 
acket drop count 


packet drop count 





BadAuthLen count 


Aut 


hFail count 


InSAAclCheckFail count 


Pkt 





DuplicateDrop count 


5 


0 


PktSeqNoTooSmallDrop count: 0 


Pkt 


InSAMissDrop count 


步骤 十 . 重新 定义 感 兴趣 流 


修改 ACL ,将 动态 路 


名 由 协议 OSPF 的 协议 数据 


time=80 


time=77 


time=77 


time=80 


time=77 


ms 


ms 


~ E 一 一 NH zs 
流量 定义 为 感 兴趣 Pr 


IL. ER. o 
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R1]aci 3001 


R1-acl-adv-3001]rule 5 permit ospf source any destination any 


R3]acl 3001 





R3-acl-adv-3001]rule 5 permit ospf source any destination any 


配置 完成 后 ， 重 新 查看 OSPF 令 居 关 系 以 及 路 由 表 。 
«R1»display ospf peer brief 
OSPF Process 1 with Router ID 10.0.1.1 
Peer Statistic Information 
Area Id Interface Neighbor id State 


0.0.0.0 Seriall/0/0 10:0.:2.2 Inie X 


XRl»display ip routing-table 
Route Flags: R - relay, D - download to fib 


Routing Tables: Public 











Destinations : 14 Routes :AL4 

Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 Direct .0 0 D 10.0.1.1 LoopBack0 
10.0.1.1/32 Direct. 0 0 D TPSO 05 LoopBack0 
10.0.1.255/32 Direct 0 0 D 127.0.0.1 LoopBack0 
10.0.11.0/2^4 Direct 0 0 D 10.0.11.11 LoopBackl 
10.0.11311/32 Direct 0 0 D 127.0.0.1 LoopBackl 
1020.11.255/32 Direct 0 0 D 127.0.0.1 LoopBackl1 
10.0.12.0/24 Direct 0 0 D  10.0.12.1 Seriall/0/0 
10.0.12.1/32 Direct 0 0 D  127.0.0.1 Seriall/0/0 
10.0.12.2/32 Direct 0 0 D-. :10:0.12.2 Seriall/0/0 
10.0.12.255/32 Direct 0 0 D  127.0.0.1 Seriall/0/0 
127.0.0.0/8 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.0.0.1/32 Direct 0 0 D 121.04... InLoopBack0 

127.255.255.255/32 Direct 0 0 D 127.0.0.1 InLoopBack0 

255.255.255.,255/32 Direct Q 0 D 127.0.0.1 InLoopBack0 











«R3»display ospf peer brief 


OSPF Process 1 with Router ID 10.0.3.3 
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Peer Statistic Information 


Area Id Interface Neighbor id 


0.0.0.0 Serial2/0/0 10.0.2.2 


State 


ü sube 


«R3»display ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 


Destinations : 14 Routes : 14 
Destination/Mask Proto Pre Cost Flags NextHop 
10.0.3.0/24 Direct 0 0 D. 10:0.2.3 
10.0.3.3/32 Direct 0 0 D 127.0.0. 
10.0.3.255/32 Direct 0 0 D 127.0.0. 
10.0.23.0/24 Direct 0 0 D 10.0.23. 
10.0.23.2/32 Direct 0 0 D 10.047298 
10.0.23.3/32 Direct 0 0 D 4ANO.0. 
10.0.23.255/32 Direct O0 0 AN 127.0.0. 
10.0.33.0/24 Direct 0 0 D 10.0.33. 
10.0.33.33/32 Direct 0 0 D 127.0.0. 
10.0.33.255/32 Direct 0 0 D 127.0.0. 
127.0.0.0/8 Direct. 0 0 D 127.0.0. 
127.0.0.1/32 Di recA o 0 D 127.0.0. 
127.255.255.255/32. Direct 0 0 D 127.0.0. 
255.255.255.255/32 Direct 0 0 D 127.0.0. 








Interface 
LoopBack0 


LoopBackO0 





LoopBackO0 
Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
Serial2/0/0 
LoopBackl 


LoopBackl 





LoopBackl 
InLoopBack0 
InLoopBack0 


InLoopBack0 





InLoopBack0 


可 以 观察 到 Miu MU eiae 流量 时 ,OSPF 令 居 状态 变 为 Init , 
原因 是 使 用 IPSec 封 装 OSPF hello 消 息 失败 ， 结 果 导 致 RL、R3 和 R2 间 的 OSPF 


邻接 天 系 断 开 。 


配置 文件 


<R1l>display current-configuration 
[V200R003C00SPC200] 

# 

sysname R1 


# 
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acl number 3001 

rule 5 permit ospf 
# 
ipsec proposal tranl 

esp authentication-algorithm shal 
esp encryption-algorithm 3des 
# 
ipsec policy P1 10 manual 

security acl 3001 

proposal tranl 

tunnel local 10.0.12.1 

tunnel remote 10.0.23.3 

sa spi inbound esp 12345 

sa string-key inbound esp simple huawei 
sa spi outbound esp 54321 

sa string-key outbound esp simple huawei 
# 
interface Seriall/0/0 

link-protocol ppp 

ppp authentication-mode pap 

ip address 10.0.12.1 255.255.25510 
ipsec policy P1 

baudrate 128000 
# 
interface LoopBack0 

ip address 10.0.1.1 255.255.255.0 
# 
interface LoópBack1 

ip'addréss 10.0.11.11 255.255.255.0 
# 
óspf 1 router-id 10.0.1.1 

area 0.0.0.0 

network 10.0.1.0 0.0.0.255 

network 10.0.11.0 0.0.0.255 

network 10.0.12.0 0.0.0.255 
# 
user-interface con 0 


authentication-mode password 


sS 
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set authentication password 
cipher $$9$5dDÉt JPXHzJ;Xs$X»hOkm!,.-Iq610K K6tI)]cc-;k o'C.«4L,$$$$ 


user-interface vty 0 4 
authentication-mode aaa 
# 


return 


<R2>display current-configuration 

[V200R003C00SPC200] 

# 

sysname R2 

# 

interface Seriall/0/0 

link-protocol ppp X 
ppp pap local-user huawei password cipher £$$$$u[hr6d«JVHRQ-»T7xrl«S$.iv$$$$ 
ip address 10.0.12.2 255.255.255.0 

# 

interface Serial2/0/0 

link-protocol ppp 


ppp chap user huawei 





ppp chap password cipher $$$2$$e(5h)gh"/UzOmUC$vEx3$4«m£$$$$ 
ip address 10.0.23.2 255.255.255.0 
# 
interface LoopBackO0 
ip address 10.0.2.24.255.255.255.0 
# 
ospf 1 router-id 10.0.2.2 
area 0.0.0.0 
network»510.0.12.0 0.0.0.255 
network 10.0.23.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 
cipher %$%$|nRPL^hr2IXi7LHDID!/, .*%.8%h;3:,hXO2dk#ikaWI.*(, $$%$ 


user-interface vty 0 4 
# 


return 
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«R3»display current-configuration 
[V200R003C00SPC200] 

# 

sysname R3 

# 

acl number 3001 

rule 5 permit ospf 

# 

ipsec proposal trani 

esp authentication-algorithm shal 
esp encryption-algorithm 3des 

# 

ipsec policy P1 10 manual 
security acl 3001 

proposal trani 

tunnel local 10.0.23.3 

tunnel remote 10.0.12.1 


sa spi inbound esp 54321 


sa string-key inbound esp simple huawei 


sa spi outbound esp 12345 


sa string-key outbound esp simplé huawei 


# 
interface Serial2/0/0 

link-protocol ppp 

ppp authentication-mode chap 

ip address 10.0.23.3 255.255.255.0 
ipsec policy P1 
# 
interfacé LoopBackO0 

ip.áddress 10.0.3.3 255.255.255.0 
# 
interface LoopBack1 

ip address 10.0.33.33 255.255.255.0 
# 
ospf 1 router-id 10.0.3.3 
area 0.0.0.0 

network 10.0.3.0 0.0.0.255 


network 10.0.23.0 0.0.0.255 
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network 10.0.33.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 





cipher %$%$W]$)M5D}v@bY^gK\;>QR, . *d; 8Mp» | FEU, :~D~8b59~.. 


user-interface vty 0 4 
authentication-mode aaa 
# 


return 
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实验 3-5 GRE 隧道 配置 
学 习 目 标 


。 ”掌握 GRE 隧 道 封 装 的 配置 方法 
。 ”掌握 GRE 隧 道 接 口 的 配置 方法 


。 理解 GRE Keepalive 功 能 的 实现 原理 
拓扑 图 Ç 
LoopBack1: 10.0.11.11/24 


^. 
Lata S1/0/0 











i d 
pudo: d 
A 
10.0.12.0/24 10.0.23.0/24 


R1 R2 R3 


sio *3 szo ef x2 
=FZ— 





图 3.5 GRE 隧 道 配 置 实验 拓扑 图 


您 是 企业 的 网 络 管理 员 , 当 企业 总 部 和 分 支 机 构 间 需 要 互相 发 布 加 密 的 路 由 
信息 时 、 仪 通过 IPSec VPN 方 案 是 无 法 实现 的 。 由 于 IPSec VPN 无 法 承载 使 用 组 
播发 送 的 路 由 协议 数据 包 ， 因 此 您 还 需要 在 现 有 的 IPSec 网 络 中 配置 GRE 隧 道 解 
决 此 问题 。 
操作 步骤 

注意 : 开始 配置 本 实验 前 ， 必 须 先 完成 实验 3-4。 
步骤 一 . 创建 GRE 隧道 


创建 隧道 接口 并 为 该 接口 配置 一 个 公 网 IP 地 址 ， 然 后 指定 接口 封装 类 型 为 
GRE， 并 配置 隧道 的 实际 源 地址 以 及 实际 目的 地 址 。 
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R1]in 


R3]in 





步骤 二 . 


terface Tunnel 0/0/1 


R1-Tunnel0/0/1]ip address 100.1.1.1 24 
Rl1-Tunnel0/0/1]tunnel-protocol gre 
Rl1-Tunnel0/0/1]source 10.0.12.1 


Rl1-Tunnel0/0/1]destination 10.0.23.3 


terface Tunnel 0/0/1 


R3-Tunnel0/0/1]ip address 100.1.1.2 24 
R3-Tunnel0/0/1]tunnel-protocol gre 
R3-Tunnel0/0/1]source 10.0.23.3 


R3-Tunnel0/0/1]destination 10.0.12.1 
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配置 OSPF 进程 2 用 于 隧道 路 由 


将 隧道 接口 所 在 的 网 络 通 告 在 OSPF 进 程 1， 从 OSPF 进 程 1 中 删除 网 络 
10.0.12.0/24 和 10.0.23.0/24。 创 建 链 COSPF 进 程 2,， 并 将 网 络 10.0.12.0/24 和 
10.0.23.0/24 通 告 到 OSPF 进 程 2。 


R1]os 
R1-os 
Rl1-os 
R1-os 
R1]os 
Rl1-os 


Rl1-os 


R3]os 
R3-os 
R3-os 
R3-os 
R3]os 


R3-os 





R3-os 


«R1»di 


pf 1 


pf-1]area 0 


pf 2 router-id 10.0.1.1 


pf-2]area 0 


pf 1 


pf-l]area 0 


pf 2 router-id 10.0.3.3 


pf-2]area 0 





pf-1-area-0.0.0.0]network 100.1.1. 


pf-1-area-0.0.0.0]undo network. 10. 


pf-2-area-0.0.0.0]mnetwork 10.0.12. 


pf-1-aréa-0.0.0.0]network 100.1.1. 


pf-1-area-0.0.0.0]undo network 10. 


0 


0. 


0 


0 


0. 


070.0.255 


12.0 0.0.0.255 


0.0.0.255 


0.0.0.255 


23.0 0.0.0.255 


pf-2-area-0.0.0.0]network 10.0.23.0 0.0.0.255 


路 由 器 会 为 不 同 的 OSPF 进 程 创建 不 同 的 LSDB，R1 和 R3 中 分 别 有 LSDB 1 和 
LSDB 2， 两 个 数据 库 彼 此 独立 ， 不 会 同步 路 由 信息 。 因 此 R2 学 习 不 到 R1 和 R3 
通告 在 进程 2 中 的 路 由 。 


执行 display interface Tunnel 0/0/1 命 令 ， 验 证 配置 结果 ，。 


splay interface Tunnel 0/0/1 
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Tunnel0/0/1 current state : UP 
Line protocol current state : UP 


Last line protocol up time : 2013-12-17 17:10:16 





Description:HUAWEI, AR Series, Tunnel0/0/1 Interface 





Route Port,The Maximum Transmit Unit is 1500 


Internet Address is 100.1.1.1/24 





Encapsulation is TUNNEL, loopback not set 





Tunnel source 10.0.12.1 (Seriall1/0/0), destination 10.0.23.3 





Tunnel protocol/transport GRE/IP, key disabled 





keepalive disabled 
Checksumming of packets disabled 
Current system time: 2013-12-17 17:35:39 


Last 300 seconds input rate 0 bytes/sec, 0 packets/sec 





Last 300 seconds output rate 9 bytes/sec, 0 packets/sec 
Realtime 0 seconds input rate 0 bytes/sec, 0 packets/sec 
Realtime 0 seconds output rate 0 bytes/sec, 0 packets/sec 
0 packets input, 0 bytes, 0 drops 

145 packets output, 14320 bytes, 0 drops 

Input bandwidth utilization : -- 


Output bandwidth utilization : -- 


«R3»display interface Tunnel 0/0/1 
Tunnel0/0/1 current state :MUP 
Line protocol current State : UP 


Last line protocol. uptime : 2013-12-17 17:10:40 








Description:HÜAWEI, AR Series, Tunnel0/0/1 Interface 
Route Port,The Máximum Transmit Unit is 1500 
Internet, Addfess is 100.1.1.2/24 


Encapsulátion is TUNNEL, loopback not set 





Tunnél source 10.0.23.3 (Serial2/0/0), destination 10.0.12.1 








Tunnel protocol/transport GRE/IP, key disabled 
keepalive disabled 

Checksumming of packets disabled 

Current system time: 2013-12-17 17:36:44 


Last 300 seconds input rate 0 bytes/sec, 0 packets/sec 





Last 300 seconds output rate 9 bytes/sec, 0 packets/sec 
Realtime 0 seconds input rate 0 bytes/sec, 0 packets/sec 


Realtime 0 seconds output rate 0 bytes/sec, 0 packets/sec 
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0 packets input, 0 bytes, 0 drops 
162 packets output, 14420 bytes, 15 drops 
Input bandwidth utilization : -- 


Output bandwidth utilization : -- 


Jt 
B 
st 
P 


步骤 三 . 将 GRE 流量 定义 为 感 


重新 配置 ACL 定 义 感 兴趣 流量 。 
R1]aci 3001 


R1-acl-adv-3001]rule 5 permit gre source 10.0.12.1 0 destination 10.0.23.3 0 


R3]acl 3001 





R3-acl-adv-3001]rule 5 permit gre source 10.0.23.3 0 destination 10.0.12.1 0 


步骤 四 . ”验证 路 由 信息 通过 GRE 封装 后 可 由 IPSec VPN 传输 


执行 display ip routing-table 命 令 ， 查 看 IPv4 路 由 表 。 


XRl»display ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 








Destinations : 21 Routes : 21 
Destination/Mask Proto Pre Cost Flags NextHop Interface 
10.0.1.0/24 Direct." 0 0 D l0«0c1.1 LoopBack0 
10.0.1.1/32 Direct 0 0 D 127.0.0.1 LoopBack0 
10.0.1.255/25 Direct 0 0 D 12.0459. LoopBack0 
10.0.2.2/32 OSPF 10 781 D  10.0.12.2 Seriall/0/0 
1040.3N9/22 OSPF IO 1962 D 39) c 351.52 Tunnel0/0/1 
1030.11.0/24 Direct 0 0 D 10.0.11.11 LoopBackl 
10.0.11.11/32 Direct 0 0 D 127.0.0.1 LoopBackl 
10.0.11.255/32 Direct 0 0 D 127.0.0.1 LoopBackl 
10.0.12.0/24 Direct 0 0 D 10.0.12.1 Seriall/0/0 
10.0.12.1/32 Direct 0 0 D 127.0.0.1 Seriall/0/0 
10.0.12.2/32 Direct 0 0 D 10.0.12.2 Seriall/0/0 
10.0.12.255/32 Direct 0 0 D 127.0.041 Seriall/0/0 
10.0.23.0/24 OSPF 10 2343 D  10.0.12.2 Seriall/0/0 
ON SONS OSET 40 31962 D 390 3L... 2 Tunnel0/0/1 
100.1.1.0/24 Direct 0 0 D 100.1.1.1 Tunnel0/0/1 
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100.1.1.1/32 Direct 0 0 D 127.0.0.1 Tunnel0/0/1 
100.1.1.255/32 Direct O0 0 D 127.0.0.1 Tunnel0/0/1 
127.0.0.0/8 Direct 0 0 D 127,0.0.1 InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.255.255.255/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
255.255.255.255/32 Direct O0 0 D 1237:30::0.1 InLoopBack0 


«R3»display ip routing-table 


Route Flags: R - relay, D - download to fib 


Routing Tables: Public 








Destinations : 21 Routes : 21 
Destination/Mask Proto Pre Cost Flags NextHop EN r tace 
1:50) 3E 230/732 OSPF WO 35962 D 31190) ». 3L 31. 2l TulD0/0/1 
10.0.2.2/32 OSPF 10 1562 D  10.0.23.2 Serial2/0/0 
10.0.3.0/24 Direct 0 0 D 10.03.32 LoopBack0 
10.0.3.3/32 Direct 0 0 D 127 4 Q LoopBack0 
10.0.3.255/32 Direct 0 0 D 127.0.0.1 LoopBack0 
10203115 lS OSPF 10 1562 AN TOOR Tunnel0/0/1 
10.0.12.0/24 OSPF 10 3124 D 10:0:23.2 Serial2/0/0 
10.0.23.0/24 Direct 0 0 D 102022353 Serial2/0/0 
10.0.23.2/32 Direct 0 0 D 10:0.23.2 Serial2/0/0 
10.0.23.3/32 Direct. 0 0 D 127.0.0.1 Serial2/0/0 
10.0.23.255/32 Direct "0 0 D 127.0.0.1 Serial2/0/0 
10.0.33.0/24 Direct 0 0 D 10.0.33.33 LoopBackl1 
10.0.33.33/32 Direct 0 0 D 127.0.0.1 LoopBackl1 
10.0.83.255/32 Direct 0 0 D 127.0.0.1 LoopBack1 
100.:1.1.0/24 Direct 0 0 D 100.1.1.2 Tunnel0/0/1 
100:1.1.2/32 Direct 0 0 D 127.0.0.1 Tunnel0/0/1 
100.1.1.255/32 Direct 0 0 D 127.0.0.1 Tunnel0/0/1 
127.0.0.0/8 Direct 0 0 D 127350420. InLoopBack0 
127.0.0.1/32 Direct 0 0 D 127.0.0.1 InLoopBack0 
127.255.255.255/32 Direct O0 0 D 127.0.0.1 InLoopBack0 
255.255.255.255/32 Direct O0 0 D 1235 0.0«4.T InLoopBack0 











可 以 观察 到 ，GRE 隧 道 建立 后 , n ncs 封装 


后 进行 交互 ， 从 而 获取 对 端 路 由 信息 。 清 除 IPSec 统 计 信 息 后 ， 再 通过 Ping 命 令 
测试 网 络 连 通 性 。 
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XRl»reset ipsec statistics esp 


[R1]ping -a 10.0.1.1 10.0.3.3 


PING 10.0.3.3: 


Re 


Re 


Re 


Re 


Re 





ply from 10. 
ply from 10. 
ply from 10. 
ply from 10. 


ply from 10. 


56 data bytes, 


0. 


0. 


0. 


0. 


0. 


35 


3 


3s 


34 


35 


Su 


23s 


3: 


3z 


Ss 
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time-69 


time-70 


time-68 


time-68 


press CTRL C to break 
bytes-56 Sequence-1 tt1-2255 
bytes-56 Sequence-2 tt1-2255 
bytes-56 Sequence-3 ttl-255 
bytes-56 Sequence-4 tt1-255 
bytes-56 Sequence-5 tt1-255 








5 packet(s) transmitted 
5 packet(s) received 
0.00$ packet loss 


10.0.3.3 ping statistics --- 


round-trip min/avg/max - 68/68/70 ms 


XRl»display ipsec statistics esp 


Inpacket count 


Inpacket auth count 


Inpacket decap count 


Out 


Out 


Out 


pac 


pac 


pac 


ket count 


ket auth count 


ket encap count 


Inpacket drop count 


Out 


pac 


ket drop count 





BadAuthLen count 


Aut 


InSAAclCheckFail. count 


Pkt 





hFail count 


DuplicateDrop count 


8 


0 


0 


8 


PktSéqNoTooSmallDrop count: 0 


PktInSAMissDrop count 


time-68 


ms 


ms 


ms 


如 上 IPSec ESP 统 计 信息 可 以 看 出 ,OSPF 协 议 交 互 的 报 文 ( 包括 hello 报 文 ) 
进行 了 GRE 封 装 后 再 被 IPSec VPN 加 密 传输 。 


步骤 五 . 在 GRE 隧道 配置 Keepalive 功能 


[R1]interface Tunnel 0/0/1 


[Rl1-Tunnel0/0/1]keepalive period 3 
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验证 隧道 接口 的 Keepalive 功 能 是 否 已 开启 。 
«Rl»display interface Tunnel 0/0/1 
Tunnel0/0/1 current state : UP 
Line protocol current state : UP 


Last line protocol up time : 2013-12-18 09:50:21 





Description:HUAWEI, AR Series, Tunnel0/0/1 Interface 





Route Port,The Maximum Transmit Unit is 1500 


Internet Address is 100.1.1.1/24 





Encapsulation is TUNNEL, loopback not set 


Tunnel source 10.0.12.1 (Seriall/0/0), destination 10.0.23.3 





Tunnel protocol/transport GRE/IP, key disabled 








keepaliv nable period 3 retry-times 3 
Checksumming of packets disabled 
Current system time: 2013-12-18 11:05:49 


Last 300 seconds input rate 0 bytes/sec, 0 packets/séc 





Last 300 seconds output rate 8 bytes/sec, 0 packets/sec 
Realtime 0 seconds input rate 0 bytes/sec, 0*packets/sec 
Realtime 0 seconds output rate 0 bytes/sec, 0 packets/sec 
0 packets input, 0 bytes, 0 drops 

503 packets output, 47444 bytes,.O0.drops 

Input bandwidth utilization : -- 


Output bandwidth utilizatión.,» -- 


配置 文件 


<R1>dqisplay current-configuration 
[V200R003CUUSPC200 ] 

# 

Sysname-R1 

# 

acl number 3001 

rule 5 permit gre source 10.0.12.1 0 destination 10.0.23.3 0 
# 

ipsec proposal tranl 

esp authentication-algorithm shal 
esp encryption-algorithm 3des 

# 

ipsec policy P1 10 manual 


security acl 3001 


p 
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proposal tranl 
tunnel local 10.0.12.1 
tunnel remote 10.0.23.3 
Sa spi inbound esp 12345 
sa string-key inbound esp simple huawei 
sa spi outbound esp 54321 
sa string-key outbound esp simple huawei 
# 
interface Seriall/0/0 
link-protocol ppp 
ppp authentication-mode pap 
ip address 10.0.12.1 255.255.255.0 
ipsec policy P1 
baudrate 128000 
# 
interface LoopBack0 
ip address 10.0.1.1 255.255.255.0 
# 
interface LoopBack1 
ip address 10.0.11.11 255.255.255.0 
# 
interface Tunnel0/0/1 
ip address 100.1.1.1 255.285.25.0 
tunnel-protocol gre 
keepalive period 3 
source 10.0.12.1 
destination 10.0.23.3 
# 
oS$pf 1 róuter-id 10.0.1.1 
areá 0.0.0.0 
network 10.0.1.0 0.0.0.255 
network 10.0.11.0 0.0.0.255 
network 100.1.1.0 0.0.0.255 
# 
ospf 2 router-id 10.0.1.1 
area 0.0.0.0 


network 10.0.12.0 0.0.0.255 
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user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$9$5dD£E JPXHzJ; Xs$X»hOkm!,.-Iq610K K6tI)]cc-;k o'C.«4L,$$$$ 


user-interface vty 0 4 
authentication-mode aaa 
# 


return 


<R2>display current-configuration 

[V200R003C00SPC200] 

# 

sysname R2 

# K 
interface Seriall/0/0 

link-protocol ppp 

ppp pap local-user huawei password cipher £$$$$u[hr6d«JVHRQ-»2T7xrl«S$.iv$$$$ 
ip address 10.0.12.2 255.255.255.0 

# 

interface Serial2/0/0 

link-protocol ppp 


ppp chap user huawei 





ppp chap password cipher $$$$e(5h)gh"/UzOmUCSvEx3$4«m$$$$ 
ip address 10.0.23.2 255.255.255.0 
# 
interface LoopBackO0 
ip address^10.0.2.2 255.255.255.0 
# 
ospf lI\rohter-id 10.0.2.2 
area 0.0.0.0 
network 10.0.2.0 0.0.0.255 
network 10.0.12.0 0.0.0.255 
network 10.0.23.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$$$|nRPL^hr2IXi7LHDID!/,.*$.82$h;3:,hXO2dkfikaWI.* (,$$£2$ 


user-interface vty 0 4 
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+ 


return 


<R3>display current-configuration 
[V200R003C00SPC200] 

# 

sysname R3 

# 

acl number 3001 

rule 5 permit gre source 10.0.23.3 0 destination 10.0.12.1 0 
# 

ipsec proposal tranl 

esp authentication-algorithm shal 
esp encryption-algorithm 3des 

# 

ipsec policy P1 10 manual 

security acl 3001 

proposal tranl 

tunnel local 10.0.23.3 

tunnel remote 10.0.12.1 

Sa spi inbound esp 54321 

sa string-key inbound esp simple huawei 
sa spi outbound esp 12345 

sa string-key outbound esp simple huawei 
# 

interface Serial2/0/0 

link-protocol ppp 

ppp àuthentication-mode chap 
ip*addréss 10.0.23.3 255.255.255.0 
ipséc policy P1 

# 

interface LoopBackO0 

ip address 10.0.3.3 255.255.255.0 

# 
interface LoopBack1 

ip address 10.0.33.33 255.255.255.0 
# 


interface Tunnel0/0/1 
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ip address 100.1.1.2 255.255.255.0 
tunnel-protocol gre 
source 10.0.23.3 
destination 10.0.12.1 
# 
ospf 1 router-id 10.0.3.3 
area 0.0.0.0 
network 10.0.3.0 0.0.0.255 
network 10.0.33.0 0.0.0.255 
network 100.1.1.0 0.0.0.255 
# 
ospf 2 router-id 10.0.3.3 
area 0.0.0.0 
network 10.0.23.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 





cipher $$2$W|$)M5D)vG8bY^gKN; »QR, . *d; 8Mp> |+EU/:~D~8b59~.. 


user-interface vty 0 4 
authentication-mode aaa 
# 


Return 
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第 四 章 企业 网 络 管理 
实验 4-1 通过 SNMP 协议 进行 网 络 管理 ( 选 做 ) 
学 习 目 标 


。 ”掌握 SNMP 代 理 的 配置 方法 
。 ”掌握 SNMP 代 理 告警 的 配置 方法 


。 ”掌握 NMS 管 理 网 元 的 方法 


拓扑 图 





R1 R3 
Uoi ^ — 10.0.13.0/24 G0/0/O 
E Wu ——& 
à 
~ 


图 4.1 通过 SNMP 协 议 进 行 网 络 管理 实验 拓扑 图 


场景 


随 着 企业 网 络 的 不 断 发 展 ， 网络 中 的 设备 数量 和 种 类 都 越 来 越 多 ,企业 的 网 
络 管理 员 需 要 通过 SNMP 协 议 实现 对 不 同 种 类 和 不 同 厂 商 的 网 络 设备 进行 统一 
管理 。 本 实验 中 ， 您 需要 测试 NMS 网 管 设备 的 监测 能 力 ， 然 后 在 企业 网 络 中 部 
署 NMS 解 决 方案 。 

注意 : 此 处 NMS 需 要 另外 一 台 服 务 器 ， 并 连接 到 实验 机 架 的 95 上 ， 网 管 软 
件 使 用 的 是 华为 eSight V2R3 版 本 ,推荐 配置 为 CPU :1* 双 核 2GHz 以 上 , P317 : 
4GB , 硬盘 空间 : 40GB。 安 装 指 南 可 参考 如 下 链接 : 
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http://support.huawei.com/ehedex/hdx.do?docid- DOC10000328828/lang- zh 





操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 需 要 从 步骤 1 开始 配置 ， 然 后 跳 过 步 
又 2。 如 果 使 用 的 设备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 
«Huawei»system-view 
[Huawei]sysname R1 
[R1]interface LoopBack 0 


[R1-LoopBack0]ip address 10.0.1.1 24 


«Huawei»system-view 
[Huawei]sysname R3 
[R3]interface LoopBack 0 


[R3-LoopBack0]ip address 10.0.3.3 24 
步 又 二 . 清除 设备 上 原 有 的 配置 


关闭 无 天 的 串 行 接口 ， 并 删除 路 由 器 上 的 所 有 QOSsPF 进 程 。 
R1]interface Serial 1/0/0 
R1-Seriall/0/0]shutdown 
R1-Seriall/0/0]quit 
Rl]undo ospf J 


Warning: The OSBF.process will be deleted. Continue? [Y/N]:y 





R1]undo ospf 2 


Warning: The OSPF process will be deleted. Continue? [Y/N]:y 


R3]interface Serial 2/0/0 
R3-Serial2/0/0]shutdown 
R3-Serial2/0/0]quit 
R3]undo ospf 1 


Warning: The OSPF process will be deleted. Continue? [Y/N]:y 





R3]undo ospf 2 


Warning: The OSPF process will be deleted. Continue? [Y/N]:y 
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在 路 由 器 上 配置 IP 地 址 和 路 由 协议 。 确保 主机 和 网 管 设备 之 间 可 以 互相 通信 。 








R1]os 
Rl1-os 
Rl1-os 


Rl1-os 


R3]os 
R3-os 
R3-os 


R3-os 


Rl1-Gigabitl 


R3-Gigabitl 


Rl]ospf 











pf-1]area 0 


pf-1]area 0 


R1]interface Gigabitl 


R3]interface Gigabitl 








检测 网 络 连 通 性 。 


[R1]ping 10.0.13.254 


PING 10. 


Re 


Re 


Re 


ply 
ply 


ply 


Reply 


Re 


ply 


0.13. 


from 


from 


from 


from 


from 


254: 


10. 


10. 


10. 


10. 


10. 


0. 


0. 


0. 


0. 


0. 


56 data bytes, 
13j 
134 
13. 
135 


T3; 


254: 


254: 


254: 


254: 





254: 


Ethernet0/0/0]ip address 


Ethernet0/0/0]ip address 


pf 1 router-id 10.0.1.1 


pf 1 router-id 10.0.3.3 


Ethernet 0/0/0 


Ethernet 0/0/0 


10.0.13.1 24 


10.0.13.3 24 


pf-l-area-0.0.0.0]network 10.0.1.0 0.0.0.255 


pf-l1-area-0.0.0.0]network 10.0.13.0 0.0.0.255 


pf-l-area-0.0.0.0]network 10.0.3.0 0.0.0.255 


pf-1-area-0.0.0.0]network 10.0.13.0.0-0.0.255 

















10.0.13.254 ping statistics --- 


packet (s) 





packet (s) 


transmitted 


received 


0.00$ packet loss 


round-trip min/avg/max 





time-1 ms 


time-1 ms 


time-10 ms 


time-1 ms 


time-1 ms 


press CTRL C to break 
bytes-56 Sequence-1 ttl1-128 
bytes-56 Sequence-2 ttl1-128 
bytes-56 Sequence-3 ttl1-128 
bytes-56 Sequence-4 ttl-128 
bytes-56 Sequence-5 ttl1-128 
1/2/10 ms 
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步骤 四 . TERI 上 配置 SNMP 


在 R1 上 开启 SNMP 代 理 功能 ， 并 修改 版 本 为 SNMPv2c。 


[R1]snmp-agent 


[R1]snmp-agent sys-info version v2c 


配置 SNMP 读 写 团 体 。 


[R1]snmp-agent community read public 


[R1]snmp-agent community write private 


在 RI 上 启用 告警 功能 ， 并 配置 设备 管理 员 的 联系 信息 。 
R1]snmp-agent trap enable 
Info: All switches of SNMP trap/notification will be open. .COWHtinue? [Y/N] 
Rl]snmp-agent trap queue-size 200 
Rl]snmp-agent trap life 60 


R1]snmp-agent target-host trap-hostname NMS address 10.0.13.254 trap-paramsname 


R1]snmp-agent target-host trap-paramsname public v2c securityname public 











Rl]snmp-agent sys-info contact Call the operator at 010-12345678 


配置 完成 后 ， 执 行 以 下 命令 验证 配置 是 否 生效 。 


<R1>display snmp-agent $ys-info 

The contact per$on.for this managed node: 
Callé;the operator at 010-12345678 
The physical location of this node: 


Shenzhen China 





SNMP.vérsion running in the system: 


SNMPv2c 


X«Rl»display snmp-agent community write 
Community name: $$$2$2ZR)y-^VYO9I"-n' =b KRI1(OX$$2$$2$ 
Storage type: nonVolatile 


View name: ViewDefault 





XRl»display snmp-agent target-host 
Traphost list: 


Target host name: NMS 
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Traphost address: 10.0.13.254 
Traphost portnumber: 162 
Target host parameter: public 
Total number is 1 
Parameter list trap target host: 


Parameter name of the target host: public 








Message mode of the target host: SNMPV2C 


Trap version of the target host: v2c 





Security name of the target host: public 


Total number is 1 


步骤 五 . 在 eSight 上 配置 网 元 


在 如 下 界面 中 选择 “Resource > Add Device > Single" , 将 网 元 R1 和 R3 
添加 到 jeSight， 然 后 配置 SNMP 参 数 。 


i Discovery Protocol 
Select discovery protocol Q SNMP QICMP 

© Basic Information 

» IP address 100131 Subnet j 
Name R1 


E SNMP 


» Select Protocol Template 








SNMP version V2c A 
* Read community: public Write community: — private 
* Port 161 Timeout interval (s): 3 
C Telnet(optional) 
» Select Protocol Template 
Protocol Telnet X Authentication: No authentication z. 
User name: * Port 23 
Password * Timeout interval (s): 20 


选择 "Resource > Resource Management > Equipment Resources > 
NE Resources”， 确 认 网 元 已 经 添加 到 esight 中 。 


aP Add Device jj Automatic 4 Import Device EY Set Protocol ~ $» Synchronize PE Move More w 

) Name^ IP Address^ Type Manufacturer Timezone Comments Operation $T 
R1 10.0.13.1 AR2220 Huawei UTC+08:00 Beijing... Ex Bm X 
R3 10.0.13.3 AR2220 Huawei UTC+08:00 Beijing... ^ | E X 











20 |*| Total records: 2 4 [3 





点 击 资源 名 称 R1 和 R3, 查看 基本 信息 。 
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EJ Basic Information 


3 Modify p Refresh a Telnet a Ping 4d Trace {$ Synchronize Device Data 3 View A MIB Management 
Name: R1 Device location: Shenzhen China 
Model: Router/AR2220 Version: VRP5.12 V200R003C00SPC200 
Host name: @Rı System OID: 1.3.6.1.4.1.2011.2.224.5 
IP address: 10.0.13.1 Last started at: 2013-12-04 15:48:04 


MAC address: 54-89-98-76-83-0A Last polled at: 2013-12-19 15:29:22 


Ne average CPU usage Realtime detail Ne average Memory usa... Realtime detail Response duration 











% % ms 
100 100 200 
75 75 150 
50 50 100 
25 25 50 
* 
16:00 22:00 04:00 10:00 16:00 16:00 22:00 04:00 10:00 16:00 16:00 22:00 04:00 19:00 16:00 
Current value : No data available. Current value : No data available. Current value : No.datg 'ateitdble. 


接 下 来 选择 屏幕 左 侧 资源 菜单 中 Device Config 下 面 的 Interface Manager 
选项 . 如 果 本 实验 手册 中 包含 的 所 有 实验 均 已 经 完成 4 界面 上 会 列 出 大 量 的 地 址 。 


| Admin Status | 





[7] Index* Name^ | Alias 4 Operational Status IP Address^ | Rate (bit/s) | Operation $% 
w) 1 InLoopBack0 HUAWEI, AR Series... up up 127.0.0.1 0 >A 
O 2 NULLO HUAWEI, AR Series,... up up 0 > IA 
3 GigabitEthernet0/0/0 HUAWEI, AR Series,... up up 10.0.13.1 100M Pe 
回 4 GigabitEthernet0/0/1 HUAWEI, AR Series,... up À up 10.0.4.1 1000M ?EN 
回 5 GigabitEthernet0/0/2 HUAWEI, AR Fev a up 1000M A 
[7 6 Cellular0/0/0 HUAWEI, ÀR series... down up 10M RAA 
el 7 Cellular0/0/1 : MAY AR Series,... down up 10M » e 
加 8 Serial1/0/0 HUAWEI, AR Series,... down down 10.0.12.1 128K Y 
O 9 Serial3/0/0 HUAWEI, AR Series... up up 64K > Ie 
F] 10 Serial2/0/0 HUAWEI, AR Series,... down down 10.0.123.1 64K > A 
T) 12 ; Loo Nen HUAWEI, AR Series... up up 10.0.1.1 0 >A 
回 各 Lo%pBack1 HUAWEI, AR Series,... up up 10.0.11.11 0 Ee 
Ia 23 f Tunnel0/0/1 HUAWEI, AR Series,... down up 100.1.1.1 64K > e 





选择 资源 菜单 中 Protocol Parameters 下 面 的 Telnet Parameters 选 项 ， 配 
置 Telnet 参 数 用 于 访问 esight 中 的 网 元 。 如 果 设 备 当前 仍然 保留 有 实验 3-3 中 的 
本 地 AAA 认证 配置 ， 界 面 的 显示 如 下 。 注 意 : 密码 是 huawei。 





第 166 页 


华为 保密 信息 ， 未 经 授权 禁止 扩散 


HCNA-HNTD 第 四 章 企业 网 络 管理 





Name: R1 

Protocol: Telnet [*] 

Authentication: User [z] 
* User name: useri Qhuawei 


V| Modify Password 


* New password: [ITIIII 
* Port: 23 
* Timeout interval 20 


(s): 


Privilege Model 


Test Apply 


如 果 R1 或 R3 的 VTY 接 口上 未 保留 AAA 认证 配置 ， 在 esight 中 注册 Telnet 参 
数 之 前 可 以 先 在 VTY 接 口 配 置 Telnet 认 证 。 


[R1]user-interface vty 0 4 
[R1-ui-vty0-4]authentication-mode password 
[R1-ui-vty0-4]set authentication password cipher huawei K 


[R1-ui-vty0-4]user privilege level 0 


eSight 资 源 菜单 的 Basic Information 窗 口 提供 了 Telnet 功 能 ， 可 以 远程 管 
理 网 元 。 但 是 ， 当 前 的 用 户 特 权 级 别 不 允许 用 户 进行 任何 配置 。 


Basic Information 














? Modify pe Refresh 加 Telnet f] Ping a Trace 3 Synchronize Device Data 3i View v f$ MIB Management 


mm Fir rei i 9x | Y mu |j pa 


Ye Telnet(10.0.13.1) 十 


ld https//127.0.0.1:31943/webtelnety/business.actyemeBMEBUsiness=enterprise Y C E- Google P» B- & $4 

















«R1»? 
User view commands: 
display Display information 
hwtacacs-user HWTACACS user 
local-user — Add/Delete/Set usér(s) 
ping Ping function 
quit Exit from current mode and.énter prior mode 
save Save file 
super Modify.super password parameters 
telnet Opén a telnet connection 
tracert «Group» tracert command group 
«R1»system-view 


Error: Unrécognized command found at '^' position. 
RIA 
i 











如 果 设 备 上 仍然 保留 了 实验 3-3 中 的 AAA 配置 ， 首 先 需要 将 用 户 的 特权 级 别 
从 0 提高 到 3。 


[R1]aaa 


[R1-aaa]local-user userlühuawei privilege level 3 


如 果 设 备 上 配置 的 是 Telnet 认 证 ， 需 要 在 VTY 用 户 接口 修改 特权 级 别 。 
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[R1-ui-vty0-4]user privilege level 3 


步骤 六 . 配置 eSight 告警 功能 


eSight 可 以 通过 告警 触发 功能 监测 网 元 的 变化 。 从 资源 菜单 中 的 view 窗 口 
选择 Alarm List。 


Sele..| Severity | Acknowledg... Alarm Name Number o£. Alarm Source First Occurrence Time Last Occurrence Time 


No record. 


20 |Y| Total records: 0 4 B 


当前 告警 列表 中 没有 任何 告警 的 记录 。 通过 eSight 提 供 的 Telnet 功 能 登录 网 
元 ， 然 后 关闭 Loopback 0 接口 ， 将 会 触发 告警 。 


[R1]interface LoopBack 0 











t 
《 
[R1-LoopBack0] shutdown 
[R1-LoopBack0]undo shutdown 
O Basic Information 
» Modify p? Refresh a Telnet a Ping 44 Trace E Synchrofiize Device Data a View v ea MIB Management 
rs o| B 2€ 
Yë Telnet(10.0.13.1) t 
@ https://127.0.0.1:31943/webtelnet/business.actio 7?BMEBugnesse terprise Y e | E- Googie P B- & $ 


«R1»system-view 

Enter system view, return user view with Ctrl+Z. 
[Ri]interface LoopBack 0 
[R1-LoopBackO]shutdown 

[R1-LoopBackO]undo shutdown 
[R1-LoopBack0] 











验证 接生 的 状态 发 生变 化 后 ， 资 源 的 告警 列表 中 生成 了 相应 的 告警 。 


Sele... CSeverity Kcknowledg... Alarm Name 


Number o£. Alarm Source First Occurrence Time Last Occurrence Time 
EN wi» a OSPF Interface State Changed R1 2013-12-19 17:35:34 2013-12-19 17:35:55 
HH - a D R1 2013-12-19 17:35:38 2013-12-19 17:35:38 


附加 练习 : 分 析 并 验证 


如 果 R1 连 接 NMS 的 接口 状态 变 成 Down，NMS 能 否 检 测 到 这 个 故障 ? 


配置 文件 


«Rl»display current-configuration 


[V200R003C00SPC200] 
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+ 


+ 


trap 


a 


# 


sysname R1 


snm 


snm 


snm 


snm 


snm 


snm 


snm 


snm 


snm 


snm 


snm 


aa 


p-agent 
p-agent 
p-agent 
p-agent 
p-agent 


p-agent 


p-agent 
p-agent 
p-agent 


p-agent 





p-agent 
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local-engineid 800007DB0354899876830A 

community read $$$$»«0c4D:9(4)bjw"Bu'd7 (ONp$$2$ 
community write $$2$2R)y-^VY9I"-«n' -b' KR1(OX$$$£2$ 
Sys-info contact Call the operator at 010-12345678 
Sys-info version v2c 


target-host trap-hostname NMS address 10.0.13.254 udp-port 162 


-paramsname public 


target-host trap-paramsname public v2c securityname public 
trap enable 
trap queue-size 200 


trap life 60 X 


authentication-scheme default 


authentication-scheme auth1 


authorization-scheme default 


authorization-scheme auth2 


accounting-scheme default 


domain default 


domain default admin 


domain huawei 


authentication-scheme authl 


authorization-scheme auth2 





local-user, admin password cipher $$$$-i-»Xp&aY-t*2cEVcS-A23UweZS$$$ 


local-user 


local-user 


local-user 


admin service-type http 


huawei password cipher $$$2$B:$I)IOo0H8) [$SB[idM3C/!4$$$2$ 





local-user 


local-user 


local-user 


huawei service-type ppp 
userl8ühuawei password cipher $$$$^L*5IP'0^A!;R)R*L-LFcXgv$$$2$ 
userl8ühuawei privilege level 3 


userlGühuawei service-type telnet 








interface GigabitEthernet0/0/0 


# 


ip address 10.0.13.1 255.255.255.0 
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interface LoopBackO0 
ip address 10.0.1.1 255.255.255.0 
# 
ospf 1 router-id 10.0.1.1 
area 0.0.0.0 
network 10.0.1.0 0.0.0.255 
network 10.0.13.0 0.0.0.255 
# 
user-interface con 0 
authentication-mode password 


set authentication password 
Cipher $$$$dDf)PXHzJ;Xs$X»hOkm!,.-Iq610K K6tI])cc-;k o'C.*L,$$$$ 


user-interface vty 0 4 
authentication-mode aaa X 
# 


return 


<R3>display current-configuration 

[V200R003C00SPC200] 

# 

sysname R3 

# 

snmp-agent local-engineid.800007DB03548998768222 

snmp-agent community read £$$$5$1^)/SB4f|QXSUN*Fd^xVX (DwTSS$%$ 
snmp-agent community write $$2$,CnkQV6[!*c.&0/wn»HU(b(n$$$2$ 
snmp-agent sys^info, contact Call the operator at 010-12345678 


snmp-agent.sys-info version v2c 





snmp-agent. target-host trap-hostname NMS address 10.0.13.254 udp-port 162 
trap-paramsname public 


snmp-agent target-host trap-paramsname public v2c securityname public 
snmp-agent trap enable 

snmp-agent trap queue-size 200 

snmp-agent trap life 60 


snmp-agent 


aaa 
authentication-scheme default 
authentication-scheme authl 


authorization-scheme default 
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authorization-scheme auth2 


accounting- 


Scheme default 


domain default 


domain default admin 


domain huawei 


authentication-scheme authl 


authorization-scheme auth2 


local-user 


local-user 


local-user 


local-user 


admin password cipher $$$$-i-»Xp&aYt*2cEVcS-A23Uwe£S$2$ 
admin service-type http 


huawei password cipher $$$$fZsyUkl-O-»2:L4'ytgR-D*Im$$$$ * 





local-user 
local-user 
local-user 


+ 


huawei service-type ppp 








user3@huawei password cipher $$$$WOt.;bEsR«8fz3LCiPY,che %$%$ 
user3@huawei privilege level 3 


user3@huawei service-type telnet 





interface GigabitEthernet0/0/0 


ip address 


+ 





10.0:13;.3. 252552050 


ospf 1 router-id 10.0.3.3 


area 0.0.0. 


0 


network 10.0.3.0 0.0.0.255 


network 10.0.13.0 0.0.0.255 


+ 


user-interface con 0 


authentication-mode password 


set authentication password 
cipher $$$$W|$)M5D])vGbY^gKN; >OR, .*d; 8Mp> | FEU, :~D~8b59~..*g, $$%$ 





user-interface vty 0 4 


authentication-mode aaa 


+ 


heturn 
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第 五 章 构建 IPv6 网 络 
实验 5-1 部 署 IPv6 网 络 
学 习 目 标 


。 ”掌握 基本 IPv6 地 址 的 配置 方法 
。 ”掌握 OSPFv3 路 由 协议 的 配置 方法 
。 掌握 DHCPv6 服 务 器 功能 的 配置 方法 





K 
。 ”掌握 IPv6 display 命 令 的 使 用 
拓扑 图 
R1 
^ 
Cats 
R G0/0/0 
fe80::1 
b 
图 5-1 部 署 IPv6 网 络 实验 拓扑 图 
场景 


目前 ， 企业 网 络 还 是 IPv4 网 络 ， 但 是 随 着 技术 的 进步 与 更 迭 ， 企 业 的 网 络 需 
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要 从 IPv4 迁 移 至 IPv6 ,作为 管理 员 的 您 首先 需要 在 现 有 了 网 络 上 进行 IPv6 网 络 的 设 
计 改 造 。 在 本 实验 中 ， 您 需要 部 署 有 状态 IPv6 地 址 分 配方 案 以 及 IPv6 路 由 协议 。 


操作 步骤 


步骤 一 . 实验 环境 准备 


如 果 本 任务 中 您 使 用 的 是 空 配置 设备 ， 则 从 步骤 1 开始 配置 。 如 果 使 用 的 设 
备 包含 上 一 个 实验 的 配置 ， 请 直接 从 步骤 2 开始 配置 。 
Xhuawei»system-view 


[huawei]sysname R1 


^ 


huawei»system-view 


[huawei]sysname R2 


^ 


huawei»system-view 





[huawei]sysname R3 


步骤 二 . 配置 IPv6 地 址 


在 路 由 器 的 环 回 接口 上 配置 1Pv6 全 球 单 播 地 址 ， 在 所 有 路 由 器 的 G0/0/0 接 
口 配置 本 地 链 路 地 址 。 


R1]ipv6 
R1]interface loopback Q 


Rl-LoopBack0]ipv6 enable 





Rl-LoopBack0]ipv6. address 2001:1::A 64 


Rl]Jinterface'.GigabitEthernet 0/0/0 





R1-GigabitEthernet0/0/0]ipv6 enable 





Ri-GigabitEthernet0/0/0]ipv6 address fe80::1 link-local 


R2]ipv6 
R2]interface loopback 0 


R2-LoopBack0]ipv6 enable 





R2-LoopBack0]ipv6 address 2001:2::B 64 


R2]interface GigabitEthernet 0/0/0 





R2-GigabitEthernet0/0/0]ipv6 enable 








R2-GigabitEthernet0/0/0]ipv6 address fe80::2 link-local 
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R3]ipv6 
R3]interface loopback 0 


R3-LoopBack0]ipv6 enable 





R3-LoopBack0]ipv6 address 2001:3::C 64 





R3]interface GigabitEthernet 0/0/0 


R3-GigabitEthernet0/0/0]ipv6 enable 








R3-GigabitEthernet0/0/0]ipv6 address fe80::3 link-local 


配置 完成 后 ， 查 看 IPv6 接 口 信息 。 


«Rl»display ipv6 interface GigabitEthernet 0/0/0 








GigabitEthernet0/0/0 current state : UP 


IPv6 protocol current state : UP 





IPv6 is enabled, link-local address is FE80::1 
No global unicast address configured 
Joined group address (es): 

imim0)2 c RIBERA 

E02 

imint02 e adi 

TU is 1500 bytes 

ND DAD is enabled, number of DAD|attempts: 1 

ND reachable time is 30000 milliseconds 


ND retransmit interval is 1000 milliseconds 








Hosts use stateless autoconfig for addresses 


IPv6 接 口 可 以 通过 加 入 多 个 组 播 组 ( 如 FF02::1 和 FF02::2 ) 来 进行 重复 地 址 
检测 ( DAD )»》, 证 实 本 地 链 路 地 址 是 独一无二 的 ， 以 支持 无 状态 地 址 自动 配置 
( SLÁAG ) ; 


步骤 三 .配置 OSPFv3 


在 路 由 器 上 开启 OSPFv3 进 程 ， 并 指定 R1、R2 和 R3 的 路 由 器 ID。 然 后 在 接 
口 下 使 能 OSPFv3 进 程 并 指定 所 属 区 域 。 
Rl]ospfv3 1 
Rl-ospfv3-1]router-id 1.1.1.1 
R1-ospfv3-1]quit 


Rl]interface GigabitEthernet 0/0/0 








R1-GigabitEthernet0/0/0]ospfv3 1 area 0 
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R1-GigabitEthernet0/0/0]quit 


R1]interface loopback 0 





Rl-LoopBack0]ospfv3 1 area O0 
R2]ospfv3 1 
R2-ospfv3-l]router-id 2.2.2.2 
R2-ospfv3-1]quit 


R2]interface GigabitEthernet 0/0/0 





R2-GigabitEthernet0/0/0]ospfv3 1 area 0 
R2-GigabitEthernet0/0/0]quit 


R2]interface loopback 0 





R2-LoopBack0]ospfv3 1 area O0 
R3]ospfv3 1 
R3-ospfv3-l]router-id 3.3.3.3 
R3-ospfv3-1]quit 


R3]interface GigabitEthernet 0/0/0 





R3-GigabitEthernet0/0/0]ospfv3 1 area 0 
R3-GigabitEthernet0/0/0]quit 


R3]interface loopback 0 








R3-LoopBack0]ospfv3 1 area O0 


在 R1 和 R3 上 执行 displayospfv3 peer 命 令 
<R1>display ospfv3 peer 
OSPFv3 Process (1) 


OSPFv3 Area, (00.0.0) 
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, 查看 OSPFv3 的 邻居 关系 。 











Neighbor ID Pri State Dead Tim Interfac Instance ID 
ZEN i Full/Backup 00:00:30 GE0/0/0 0 
NENG 1 Full/DROther 00:00:40 GE0/0/0 0 
«R3»display ospfv3 peer 

OSPFv3 Process (1) 

OSPFv3 Area (0.0.0.0) 

Neighbor ID Pri State Dead Tim Interfac Instance ID 
JL dod 1 Full/DR 003500: 32 GE0/0/0 0 

DR NOTE? d Full/Backup 00:00:38 GE0/0/0 0 
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可 以 观察 到 邻居 关系 为 Full， 其 中 如 果 1.1.1.1 不 是 DR， 可 以 执行 下 面 的 命 
令 重 启 OSPFv3 进 程 。 


XRl»reset ospfv3 1 graceful-restart 


使 用 Ping ipv6 检 测 对 端 本 地 链 路 地 址 和 LoopBack 0 接口 的 全 球 单 播 地 址 
是 否 可 达 。 


«Rl»ping ipv6 fe80::3 -i GigabitEthernet 0/0/0 





PING fe80::3 : 56 data bytes, press CTRL C to break 


Reply from FE80::3 





bytes=56 Sequence-1 hop limit=64 time = 2 ms 


Reply from FE80::3 





bytes-56 Sequence-2 hop limit-64 time = 2 ms 


Reply from FE80::3 





bytes-56 Sequence-3 hop limit-64 time = 11 ms 
Reply from FE80::3 


bytes-56 Sequence-4 hop limit-64 time - 2 ms 











Reply from FE80::3 














bytes-56 Sequence-5 hop limit-64 time = 2 ms 





--- fe80::3 ping statistics --- 
5 packet(s) transmitted 
5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max.- 2/3/11 ms 


XRl»ping ipv6 2001:3;::C 
PING 200143::0,;:/56 data bytes, press CTRL C to break 
Repiy fxom^2001:3::C 
bytes-56 Sequence-1 hop limit-64 time = 11 ms 


Reply from 2001:3::C 





bytes-56 Sequence-2 hop limit-64 time - 6 ms 


Reply from 2001:3::C 





bytes-56 Sequence-3 hop limit-64 time = 2 ms 
Reply from 2001:3::C 


bytes-56 Sequence-4 hop limit-64 time = 2 ms 








Reply from 2001:3::C 














bytes-56 Sequence-5 hop limit-64 time = 6 ms 





--- 2001:3::C ping statistics --- 


5 packet(s) transmitted 
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5 packet(s) received 
0.00$ packet loss 


round-trip min/avg/max = 2/5/11 ms 


步骤 四 . 配置 DHCPv6 分 配 IPv6 地 址 


在 R2 上 开启 DHCPv6 服 务 器 功能 ,为 其 它 设备 配置 IPv6 地 址 。 然后 创建 IPv6 
地 址 池 并 指定 地 址 池 中 IPv6 地 址 的 前 缀 和 前 缀 长度 ,再 配置 IPv6 地 址 池 中 不 参与 
自动 分 配 的 IPv6 地 址 ( 通常 为 网 关 地 址 ) 以 及 DNS 服务 器 的 IPv6 地 址 。 


R2]dhcp enable 


R2]dhcpv6 pool pooll 





R2-dhcpv6-pool-pooli]address prefix 2001:FACE::/64 


R2-dhcpv6-pool-pooli1]dns-server 2001:444e:5300::1 





R2-dhcpv6-pool-pooli]excluded-address 2001:FACE::1 




















R2-dhcpv6-pool-pooll]quit 


在 G0/0/0 接 口 配置 IPv6 地 址 为 地 址 池 中 网 关 地 址 并 配置 DHCPv6 服 务 器 
功能 和 指定 的 地 址 池 名 称 。 


[R2]interface GigabitEthernet 0/0/0 








[R2-GigabitEthernet0/0/0]ipv6 address 2004:FACE::1 64 





[R2-GigabitEthernet0/0/0]dhcpv6 server pooll 


在 R1 和 R3 上 配置 DHCPVv6 客 户 端 功能 ， 并 在 相应 接口 下 配置 通过 DHCPv6 
自动 获取 IPv6 地 址 功能 。 
R1]dhcp enable 
Rl]interface 9igábitethernet 0/0/0 


Rl1-GigabitEthernet0/0/0]ipv6 address auto dhcp 





R3]dhcp enable 





R3]interface GigabitEthernet 0/0/0 





R3-GigabitEthernet0/0/0]ipv6 address auto dhcp 





在 R2 上 执行 display dhcpv6 pool 命 令 ， 查 看 DHCPv6 地 址 池 的 信息 。 


XR2»display dhcpv6 pool 


DHCPv6 pool: pooll 





Address prefix: 2001:FACE::/64 


Lifetime valid 172800 seconds, preferred 86400 seconds 
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2 in use, O0 conflicts 


exl 
[E^ 





Excluded-address 2001:FACE:: 





1 excluded addresses 





Information refresh time: 86400 





DNS server address: 2001:444E:5300::1 





Conflict-address expire-time: 172800 


Active normal clients: 2 


在 R1 和 R3 上 执行 display ipv6 interface brief 命 令 ， 查 看 通过 DHCPv6 获 
取 的 IPv6 地 址 。 À 
[R1]display ipv6 interface brief 
*down: administratively down 
(1): loopback 


(s): spoofing 








Interface Physical Protocol 

GigabitEthernet0/0/0 up up 
IPv6 Address] 2001:FACE::2 

LoopBack0 up up(s) 


IPv6 Address] 2001:1::A 





R3]display ipv6 interface brief 
*down: administratively down 
(1): loopback 


(s): spoofing 





Interface Physical Protocol 
GigabitEthernet0/0/0 up up 
[IPv6 Address] 2001:FACE::3 

LoopBack0 up up(s) 





[IPv6 Address] 2001:3::C 


配置 文件 


<R1l1>display current-configuration 


V200R003C00SPC200] 
sysname R1 


ipv6 
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dhcp enable 
# 
ospfv3 1 
router-id 1.1.1.1 
# 


interface GigabitEthernet0/0/0 





ipv6 enable 
ip address 10.0.13.1 255.255.255.0 


pv6 address FE80::1 link-local 





H- 


O 


spfv3 1 area 0.0.0.0 





ipv6 address auto dhcp 

# 

interface LoopBackO0 

ipv6 enable M 
ip address 10.0.1.1 255.255.255.0 

ipv6 address 2001:1::A/64 

ospfv3 1 area 0.0.0.0 

# 

user-interface con 0 

authentication-mode password 


set authentication password 
Cipher $$$$dDf)P«HzJ;Xs$X»hOkm!,.-Iq610K K6tI]cc-;k o'C.«4L,$$$2$ 


user-interface vty 0 4 
authentication-mode aaa 
# 


return 


«R2»display. current-configuration 


V200R003€005SPC200] 


Sysname R2 


ipv6 


dhcp enable 











dhcpv6 pool pooll 


address prefix 2001:FACE::/64 
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xcluded-address 2001:FACE:: 





EH 
m 


dns-server 2001:444E:5300::1 





# 

ospfv3 1 
router-id 2.2.2.2 
# 


interface GigabitEthernet0/0/0 





ipv6 enable 


ip address 10.0.13.2 255.255.255.0 





ipv6 address 2001:FACE::1/64 


ipv6 address FE80::2 link-local 





ospfv3 1 area 0.0.0.0 
traffic-filter inbound acl 3000 
dhcpv6 server pooll 

# 

interface LoopBackO0 

ipv6 enable 

ip address 10.0.2.2 255.255.255.0 
ipv6 address 2001:2::B/64 
ospfv3 1 area 0.0.0.0 

# 

user-interface con 0 
authentication-mode password 


set authentication password 
cipher $$$$|nRPL^hr2IXi7LHDID!/,.*$.82h;3:,hXO2dkfikaWI.*(,$$£2$ 


user-interface,vty Q 4 
# 


return 


<R3>di splay current-configuration 


V200R003C00SPC200] 


sysname R3 


ipv6 


dhcp enable 








oSpfv3 1 
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router-id 3.3.3.3 
# 


interface GigabitEthernet0/0/0 





ipv6 enable 
ip address 10.0.13.3 255.255.255.0 


pv6 address FE80::3 link-local 





p- 


O 


spfv3 1 area 0.0.0.0 





ipv6 address auto dhcp 

# 

interface LoopBackO0 

ipv6 enable 

ip address 10.0.3.3 255.255.255.0 
ipv6 address 2001:3::C/64 

ospfv3 1 area 0.0.0.0 

# 

user-interface con 0 
authentication-mode password 


set authentication password 


cipher $$2$W|$)M5D)vG8bY^gKN; »QR, . *d; 8Mp> |+EU/:~D~8b59~.. 





user-interface vty 0 4 
authentication-mode aaa 
# 


return 


p 
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ERRUER IAN 


通过 任 一 项 华为 职业 认证 ， 您 即 可 在 华为 在 线 学 习 网 站 (h1Wp;/Aleormming.huawei.com/cn) «3g & SW TIFN: 
。 1、 华 为 E-learning 课程 学 习 
u AR: 所 有 华为 职业 认证 E-Learning 课 程 ， 扩 展 您 在 其 他 技术 领域 的 技术 知识 
o 方式 : 请 提交 您 的 “华为 账号 ”和 注册 账号 的 “emalil 地 址 ”到 Learging€huawer.com ARR 
。 2、 华 为 培训 教材 下 载 
s AR: 华为 职业 认证 培训 教材 + 华为 产品 技术 培训 教材 ， 覆 闵 企 业 网 络 、 存 储 、 安 全 等 诸多 领域 
0 AR: EORÁÍÉDUEZECOIMWA,. XA “EREM ， 人 在 具体 课程 页 面 即 可 下 载 教 材 。 
。 3、 华为 在 线 公 开课 (LVC) 优 先 参 与 
s 内容: 企业 网 络 、UC&C、 安 人 全、 存储 等 诸多 领域 的 职业 认证 课程 ， 华 为 讲师 授课 ， 开 班 人 数 有 限 
s 方式 : 开 班 计划 及 参与 方式 请 详 见 LVC 排 期 : 
http://support.huawei.com/learning/NavigationAction!createNavisznavi[id]-. 16 
。 4、 学习 工具 eNSP 
o eNSP (Enterprise Network Simulation Platform], 是 由 华为 提供 的 免费 的 、 可 扩展 的 、 图 形 化 网 络 仿 
真 工具 。 主 要 对 企业 网 路 由 器 和 交换 机 进行 硬件 模拟 ， 完 美 呈 现 真实 设备 实景 ; 同时 也 支持 大 型 网 络 
模拟 ， 让 大 家 在 没有 真实 设备 的 情况 下 也 能 够 进行 实验 测试 。 
。 ”另外 , 华为 建立 了 知识 分 享 平 台 华为 认证 论坛 。 您 可 以 在 线 与 华为 技术 专家 交流 技术 ， 与 其 他 考生 分 享 考试 
经 验 ， 一 起 学 习 华 为 产品 技术 。_( http://support.huawei.com/ecommunity/bbs/list 2247.html ) 
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